در نسخه‌های 3.6 و قدیمی‌تر نرم‌افزار jshERP، یک آسیب‌پذیری امنیتی سطح بالا (High) با شناسه CVE-2026-94497 شناسایی شده است. این نقص امنیتی از نوع IDOR (Insecure Direct Object Reference) است که به دلیل عدم اعتبارسنجی مالکیت اشیاء در نقاط انتهایی (Endpoints) مربوط به دریافت اطلاعات، به‌روزرسانی و حذف داده‌ها رخ می‌دهد.
تحلیل فنی آسیب‌پذیری
مهاجمان می‌توانند با داشتن یک حساب کاربری با سطح دسترسی پایین (Low-privileged account)، از طریق ارسال مستقیم شناسه‌های اشیاء (Object Identifiers) به APIهای آسیب‌پذیر، به اشیاء تجاری کاربران دیگر (مانند اطلاعات مواد و موجودی‌ها) دسترسی پیدا کرده، آن‌ها را تغییر داده یا حذف کنند. این مشکل تحت دسته‌بندی CWE-639 قرار می‌گیرد و به دلیل پیچیدگی پایین در اجرا (Low Complexity)، ریسک عملیاتی بالایی دارد.
جزئیات تاثیرگذاری (Impact)
- محرمانگی و یکپارچگی (C:H/I:H): امکان خواندن و تغییر کامل اشیاء متعلق به سایر کاربران.
- در دسترس بودن (A:L): امکان حذف تک‌رکوردها که منجر به اختلال جزئی در داده‌ها می‌شود.
- شرایط بهره‌برداری: دسترسی شبکه به APIهای affected و داشتن یک اکانت معتبر در سیستم.
توصیه‌های امنیتی و مقابله
برای مدیران SOC و مهندسین امنیت، اقدامات زیر به صورت فوری توصیه می‌شود:
- شناسایی: تمامی نسخه‌های jshERP تا ورژن 3.6 را در شبکه شناسایی کرده و APIهای رو به اینترنت یا شرکای تجاری را بررسی کنید.
- کنترل دسترسی: دسترسی شبکه به این APIها را تنها به کاربران مورد اعتماد محدود کرده و اصل Least Privilege را پیاده‌سازی نمایید.
- مانیتورینگ: لاگ‌های مربوط به درخواست‌های
by-id info،updateوdeleteرا برای شناسایی رفتارهای غیرعادی از سوی حساب‌های با دسترسی پایین پایش کنید.
