در نسخه‌های jshERP تا ورژن 3.6 یک نقص امنیتی در مکانیزم احراز هویت شناسایی شده است که می‌تواند منجر به تغییرات غیرمجاز در پیکربندی دسترسی‌ها شود.
جزئیات فنی آسیب‌پذیری
این آسیب‌پذیری که با شناسه CVE-2026-94414 ثبت شده است، مربوط به فقدان بررسی مجوزهای دسترسی (Authorization Check) در نقطه پایانی (Endpoint) POST /userBusiness/updateBtnStr است. در حالت عادی، تغییر در تعاریف دسترسی دکمه‌های مربوط به نقش‌های مختلف باید تنها توسط مدیران سیستم انجام شود، اما در این نسخه، کاربران احراز هویت شده (Authenticated Users) می‌توانند بدون داشتن سطح دسترسی لازم، این تغییرات را اعمال کنند.
سناریوی حمله
مهاجم می‌تواند با ارسال پارامترهای دلخواه برای roleId و btnStr، پیکربندی‌های مربوط به مجوز دکمه‌ها (Button-Permission) را برای هر نقش در محدوده مستاجر (Tenant) بازنویسی کند. این موضوع به دلیل عدم اعتبارسنجی سطح دسترسی (Privilege Validation) رخ می‌دهد و می‌تواند منجر به ارتقای سطح دسترسی یا تغییر رفتار رابط کاربری برای سایر کاربران شود.
- نوع آسیب‌پذیری: Broken Access Control
- تاثیر: تغییر در پیکربندی دسترسی‌های نقش‌ها
- وضعیت: نیاز به به‌روزرسانی یا اعمال Patch
