در نسخه‌های jshERP تا ورژن 3.6، یک نقص امنیتی با شناسه CVE-2026-94495 شناسایی شده است که به دلیل عدم اعتبارسنجی صحیح دسترسی‌های کاربر (Privilege Validation) در متد SystemConfigService.updateSystemConfig رخ می‌دهد.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی به کاربران احراز هویت شده (Authenticated Users) اجازه می‌دهد تا با سوءاستفاده از نقطه اتصال (Endpoint) مربوط به systemConfig، تنظیمات سیستمی مربوط به Tenantها را تغییر دهند. در حالت عادی، دسترسی به این تنظیمات باید محدود به مدیران ارشد سیستم باشد، اما به دلیل نقص در کنترل دسترسی، کاربران با سطح دسترسی پایین‌تر نیز می‌توانند این تغییرات را اعمال کنند.
تاثیرات احتمالی (Impact)
- تغییر هویت سازمانی: مهاجم می‌تواند اطلاعات مربوط به هویت شرکت (Company Identity) را بازنویسی یا حذف کند.
- دستکاری قوانین موجودی: امکان تغییر در قوانین مدیریت موجودی کالا (Stock Rules).
- تغییر در فرآیندهای تایید: دستکاری در رفتارهای مربوط به تاییدیه ها (Approval Behavior).
- اختلال در پیکربندی چاپ: تغییر یا حذف تنظیمات مربوط به چاپ (Printing Configuration).
با توجه به اینکه این آسیب‌پذیری اجازه تغییر تنظیمات در سطح Tenant را می‌دهد، می‌تواند منجر به اختلال گسترده در عملیات تجاری و مدیریت داده‌های سازمان شود.
