CVE-2026-94414

Nome do Software Vulnerável e Versões Afetadas jshERP versões anteriores a 3.7

Descrição Falta uma verificação de autorização no endpoint 'POST /userBusiness/updateBtnStr', permitindo que usuários autenticados modifiquem definições de permissão de botões de função. Um invasor pode fornecer parâmetros roleId e btnStr arbitrários para sobrescrever configurações de permissão de botões para qualquer função no locatário sem a devida validação de privilégios.

Recomendações Atualize o jshERP para a versão 3.7 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint 'POST /userBusiness/updateBtnStr'.