jshERP 3.6'da Yetkili Kullanıcıların Korunan Alanları Değiştirebildiği Kitle Atama Açığı
Yapay zeka üretimi16.10.2026
- CVE
- CVE-2026-109186
- Ciddiyet
- Yüksek (CVSS 8.8)
- Firma / ürün
- - / -
Özet
jshERP 3.6 sürümünde, UserController güncelleme işleyicisinde bir kitle atama hatası bulunuyor. Yetkili kullanıcılar, tenant_id ve şifre gibi korunan alanları değiştirebiliyor.
Ayrıntılar
NVD kaydına göre jshERP 3.6 sürümünde UserController güncelleme işleyicisinde bir kitle atama (mass assignment) açığı mevcut. Bu açık, kimliği doğrulanmış kullanıcıların tenant_id ve şifre gibi korunan alanları değiştirmesine izin veriyor. Saldırganlar, özel olarak hazırlanmış bir PUT /user/update isteği göndererek bir sonraki oturum açmada başka bir kiracıya geçiş yapabilir veya diğer kullanıcıların şifre karmalarını değiştirerek hesap ele geçirebilir. Açığın ciddiyeti 8.8 puanla yüksek olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin. Açık için bir güncelleme yayınlandığında derhal uygulayın. Ürüne dışarıdan erişimi mümkün olduğunca sınırlı tutun.