یک آسیب‌پذیری امنیتی با شناسه CVE-2026-94496 در نرم‌افزار jshERP (نسخه‌های 3.6 و قدیمی‌تر) شناسایی شده است که امتیاز 8.7 (High) را در معیار CVSS دریافت کرده است. این نقص امنیتی به دلیل عدم اعتبارسنجی صحیح مجوزهای کاربر در نقاط انتهایی (Endpoints) مدیریت نقش‌ها رخ داده است.
جزئیات فنی آسیب‌پذیری
در این سیستم، نقاط انتهایی /role/update و /role/delete در RoleController فاقد مکانیزم‌های بررسی دسترسی (Permission Checks) هستند. این امر به هر کاربر احراز هویت شده، حتی کاربرانی با پایین‌ترین سطح دسترسی (Low-privileged account)، اجازه می‌دهد تا تعاریف نقش‌های دیگر را تغییر داده یا آن‌ها را حذف کنند.
تاثیرات امنیتی و سناریوی حمله
- ارتقای سطح دسترسی (Privilege Escalation): مهاجم می‌تواند محدوده داده‌های (Data Scope) یک نقش را به حالت «تمام داده‌ها» (All Data) تغییر دهد.
- نشت داده‌ها (Data Breach): با تغییر دسترسی‌ها، مهاجم قادر خواهد بود به تمامی سوابق تجاری و حساس در سطح Tenant دسترسی پیدا کرده و آن‌ها را مطالعه کند.
- اختلال در دسترس‌پذیری (Availability Impact): امکان حذف نقش‌های حیاتی می‌تواند منجر به اختلال در عملیات مدیریتی سیستم شود.
توصیه‌های امنیتی و مقابله
به مدیران SOC و مهندسین امنیت توصیه می‌شود اقدامات زیر را در سریع‌ترین زمان ممکن اجرا کنند:
- شناسایی دارایی‌ها: تمامی نسخه‌های jshERP تا ورژن 3.6 را شناسایی کرده و وضعیت دسترسی آن‌ها به اینترنت (Internet-facing) را بررسی کنید.
- کنترل دسترسی: دسترسی به سیستم را به شبکه‌های مورد اعتماد محدود کنید.
- استقرار WAF: در سطح Reverse Proxy یا WAF، درخواست‌های ارسالی به نقاط انتهایی
/role/updateو/role/deleteرا مسدود یا به شدت کنترل کنید. - تحلیل لاگ‌ها: لاگ‌های دسترسی و تغییرات اخیر در نقش‌های کاربری را برای شناسایی هرگونه تغییر غیرمجاز بازبینی نمایید.
