یک نقص امنیتی در نرم‌افزار jshERP (نسخه‌های تا 3.5) شناسایی شده است که به دلیل عدم پیاده‌سازی صحیح مکانیزم‌های کنترل دسترسی، امکان دستکاری داده‌های مالی را فراهم می‌کند.
جزئیات فنی آسیب‌پذیری
این مشکل در تابع updateAccountHeadAndDetail در فایل AccountHeadService.java و در بخش Financial Receipt Update Handler رخ می‌دهد. این نقص امنیتی تحت دسته‌بندی CWE-285 (Improper Authorization) قرار می‌گیرد و به دلیل نبود بررسی‌های لازم در سطح دسترسی کاربر، اجازه می‌دهد کاربران با سطح دسترسی پایین (Low-privilege) بتوانند رکوردهای رسیدهای مالی را تغییر دهند.
تحلیل ریسک و سطح دسترسی
- بردار حمله: این آسیب‌پذیری به صورت از راه دور (Remote) قابل بهره‌برداری است.
- پیچیدگی حمله: سطح پیچیدگی حمله پایین (Low Complexity) ارزیابی شده است.
- پیش‌نیازها: برای اجرای این حمله، مهاجم باید دارای یک حساب کاربری معتبر با سطح دسترسی پایین باشد. بنابراین، ریسک اصلی مربوط به سوءاستفاده‌های داخلی (Insider Abuse) یا استفاده از مدارکی است که پیش‌تر سرقت شده‌اند.
- تأثیر: این نقص منجر به تأثیر منفی بر یکپارچگی (Integrity) و در دسترس بودن (Availability) داده‌ها می‌شود، اما تأثیری بر محرمانگی (Confidentiality) اطلاعات ندارد.
در حال حاضر یک Exploit برای این آسیب‌پذیری منتشر شده است. با وجود گزارش‌های ارسالی به تیم توسعه‌دهنده، هنوز پاسخی رسمی یا وصله‌ای برای رفع این مشکل ارائه نشده است.
به‌روزرسانی (اکتبر 6, 2026 — Vuln Today)
به‌روزرسانی:
جزئیات فنی بیشتری در مورد آسیب‌پذیری شناسایی شده در نرم‌افزار newbee-mall (که پیش‌تر با نام jshERP شناخته می‌شد) منتشر شده است. این نقص امنیتی اکنون با شناسه CVE-2026-105573 ثبت شده و نسخه‌های تا 2.7.5 را تحت تاثیر قرار می‌دهد.
بررسی‌ها نشان می‌دهد که عامل تهدید می‌تواند از طریق دستکاری پارامتر goodsCount در اندپوینت /jshERP-boot/accountHead/updateAccountHeadAndDetail، باعث ایجاد خطاهای منطق تجاری (Business Logic Errors) شود. این مسئله می‌تواند منجر به تغییر در تعداد کالاهای سفارش داده شده یا ایجاد اختلال در رکوردهای موجودی انبار گردد.
با وجود اینکه اکسپلویت (Exploit) این آسیب‌پذیری به صورت عمومی منتشر شده است، اما شدت آن به دلیل نیاز به احراز هویت و تاثیر محدود بر یکپارچگی داده‌ها، در سطح پایین ارزیابی شده است.
