CVE-2026-94494

Nome do Software Vulnerável e Versões Afetadas jshERP versões anteriores a 3.7

Descrição Uma falha de isolamento de locatários (tenant isolation bypass) permite que usuários autenticados acessem registros pertencentes a outros locatários. Ao iterar a chave primária, um invasor pode enumerar e recuperar informações sensíveis de todos os locatários da plataforma, incluindo nomes de login, datas de validade, cotas de usuário e estado de ativação. Isso é possível através do endpoint 'GET /tenant/info'.

Recomendações Atualize o jshERP para a versão 3.7 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint 'GET /tenant/info'.