CVE-2026-109185

Nome do Software Vulnerável e Versões Afetadas jshERP versões anteriores a 3.7

Descrição Existe um problema de falta de autorização no manipulador updateUser dentro do UserController. Esta falha permite que usuários autenticados atribuam funções arbitrárias a qualquer usuário. Um invasor com baixos privilégios pode enviar seu próprio ID de usuário junto com o roleId de administrador do locatário para escalar privilégios ou alterar as funções de outros usuários do mesmo locatário.

Recomendações Atualize o jshERP para uma versão posterior à 3.6. Como medida de mitigação temporária, restrinja o acesso ao manipulador updateUser no UserController para evitar atribuições de funções não autorizadas.