در نسخه‌های jshERP تا ورژن 3.6، یک آسیب‌پذیری امنیتی در مکانیزم ایزولاسیون مستاجران (Tenant Isolation) شناسایی شده است که امکان دسترسی غیرمجاز به داده‌های سایر کاربران را فراهم می‌کند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-94494 ثبت شده است، به کاربران احراز هویت شده اجازه می‌دهد تا از طریق نقطه انتهایی (Endpoint) GET /tenant/info، محدودیت‌های جداسازی داده‌ها را دور بزنند. مهاجم می‌تواند با تغییر یا پیمایش کلید اصلی (Primary Key)، داده‌های حساس مربوط به سایر مستاجران فعال در پلتفرم را استخراج کند.
داده‌های در معرض خطر
در صورت بهره‌برداری از این نقص، اطلاعات زیر برای تمامی مستاجران پلتفرم قابل مشاهده خواهد بود:
- نام‌های کاربری برای ورود (Login Names)
- تاریخ‌های اعتبار (Validity Dates)
- سهمیه‌های تخصیص یافته به کاربران (User Quotas)
- وضعیت فعال یا غیرفعال بودن مستاجر (Enabled State)
این نوع آسیب‌پذیری در دسته‌بندی Broken Access Control قرار می‌گیرد و می‌تواند منجر به نشت گسترده اطلاعات مدیریتی در محیط‌های چند مستاجری (Multi-tenant) شود.
