یک آسیب‌پذیری امنیتی با شناسه CVE-2026-94501 در نرم‌افزار jshERP (نسخه 3.6 و نسخه‌های قدیمی‌تر) شناسایی شده است. این نقص امنیتی که در دسته‌بندی Missing Authorization (عدم بررسی مجوزها) قرار می‌گیرد، به کاربران احراز هویت شده با سطح دسترسی پایین اجازه می‌دهد تا کنترل‌های دسترسی را دور زده و سطح دسترسی خود را ارتقا دهند.
تحلیل فنی آسیب‌پذیری
این مشکل در نقاط انتهایی (Endpoints) مربوط به userBusiness CRUD رخ می‌دهد. به دلیل نبود بررسی‌های لازم در سطح Authorization، مهاجم می‌تواند ردیف‌های مربوط به روابط نقش‌ها و توابع (Role/Function rows) را ایجاد، تغییر یا حذف کند. این امر منجر به Privilege Escalation (ارتقای سطح دسترسی) در سطح Tenant می‌شود و تمامی معیارهای محرمانگی، یکپارچگی و در دسترس بودن (C/I/A) را در سطح High قرار می‌دهد.
جزئیات حمله و ریسک‌ها
- پیچیدگی حمله: پایین (Low Complexity)
- دسترسی مورد نیاز: حساب کاربری احراز هویت شده با سطح دسترسی پایین (Low-privilege authenticated account)
- بردار حمله: شبکه (Network)
- وضعیت اکسپلویت: کد اثبات مفهوم (PoC) به صورت عمومی منتشر شده است.
توصیه‌های امنیتی و اقدامات پیشگیرانه
مدیران SOC و مهندسین امنیت باید در سریع‌ترین زمان ممکن اقدامات زیر را اجرا کنند:
- شناسایی: تمامی نسخه‌های jshERP فعال در شبکه را بررسی کرده و نسخه‌های 3.6 و قدیمی‌تر را شناسایی کنید.
- محدودسازی دسترسی: برای جلوگیری از دسترسی مستقیم از اینترنت، سیستم‌های آسیب‌پذیر را پشت VPN قرار داده یا از IP Allowlisting استفاده کنید.
- مدیریت حساب‌ها: احراز هویت چندعاملی (MFA) را اجباری کرده و حساب‌های غیرفعال یا ثبت‌نام شده توسط کاربر (Self-registered) را محدود یا غیرفعال نمایید.
- پایش و مانیتورینگ: فعال‌سازی Audit Logging برای تغییرات مربوط به نقش‌ها و مجوزها و بررسی دقیق ردیف‌های userBusiness برای شناسایی هرگونه تغییر غیرمجاز.
