CVE-2025-55366
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W systemie jshERP v3.5 w pliku UserController.java występuje nieprawidłowa kontrola dostępu, która umożliwia atakującym dowolne resetowanie haseł użytkowników. Podatność ta pozwala na przeprowadzenie ataku polegającego na eskalacji uprawnień w poziomie.
Ocena ryzyka
Atakujący może przejąć konta innych użytkowników, co prowadzi do nieautoryzowanego dostępu do danych i funkcji systemu. Może to skutkować naruszeniem poufności i integralności informacji w organizacji.
Rekomendacja
Należy niezwłocznie zaktualizować jshERP do najnowszej wersji, w której usunięto tę podatność. Jeśli aktualizacja nie jest możliwa, należy wdrożyć dodatkowe mechanizmy autoryzacji dla operacji resetowania haseł.
Oryginalny opis (angielski, źródło NVD)
Incorrect access control in the component \controller\UserController.java of jshERP v3.5 allows attackers to arbitrarily reset user account passwords and execute a horizontal privilege escalation attack.