CVE-2025-55371
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W systemie jshERP v3.5 w komponencie PersonController.java występuje nieprawidłowa kontrola dostępu, która umożliwia nieautoryzowanym atakującym uzyskanie wszystkich informacji o osobach obsługujących system poprzez wykonanie metody getAllList.
Ocena ryzyka
Ryzyko polega na wycieku wrażliwych danych osobowych, co może naruszyć prywatność użytkowników i przepisy o ochronie danych, a także umożliwić dalsze ataki socjotechniczne.
Rekomendacja
Należy natychmiast zaimplementować mechanizmy uwierzytelniania i autoryzacji dla metody getAllList w PersonController.java, a także przeprowadzić audyt bezpieczeństwa całego systemu jshERP.
Oryginalny opis (angielski, źródło NVD)
Incorrect access control in the component /controller/PersonController.java of jshERP v3.5 allows unauthorized attackers to obtain all the information of the handler by executing the getAllList method.