در نسخه‌های پیش از 1.5.0 نرم‌افزار Aureus ERP، یک نقص امنیتی با شناسه CVE-2026-95655 شناسایی شده است که سطح دسترسی کاربران احراز هویت شده را به شدت تحت تأثیر قرار می‌دهد.
جزئیات فنی آسیب‌پذیری
این مشکل در بخش ChatterPanel رخ می‌دهد، جایی که سیستم در محدود کردن (Scope) جستجوی پیام‌ها به رکورد جاری شکست می‌خورد. این نقص منجر به ایجاد یک وضعیت Insecure Direct Object Reference (IDOR) می‌شود که به کاربران اجازه می‌دهد با تغییر شناسه‌های پیام (Message IDs)، به داده‌هایی دسترسی پیدا کنند که متعلق به آن‌ها نیست.
تاثیرات امنیتی و سناریوی حمله
یک مهاجم که دارای دسترسی محدود به سیستم باشد، می‌تواند با ارسال شناسه‌های متوالی (Sequential IDs)، اقدامات زیر را انجام دهد:
- خواندن پیام‌ها: دسترسی به پیام‌های سایر بخش‌ها یا حتی شرکت‌های دیگر در محیط‌های چند مستاجری (Multi-tenant).
- تغییر و حذف: ویرایش یا حذف پیام‌هایی که تحت مالکیت کاربر مهاجم نیستند.
- مدیریت پیام‌ها: پین کردن (Pin) پیام‌های دلخواه برای تغییر دید کاربران دیگر.
- استخراج داده‌ها: پیمایش (Enumerate) و استخراج تمامی یادداشت‌های موجود در سیستم.
با توجه به ماهیت ERP، این آسیب‌پذیری می‌تواند منجر به نشت اطلاعات حساس تجاری و عملیاتی شود.
