CVE-2026-111632
ŚrednieCVSS 5.4Streszczenie
Aureus ERP do wersji 1.6.0 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom API na tworzenie lub przenoszenie rekordów do niedozwolonych firm poprzez podanie obcego company_id. Atakujący mogą wysyłać żądania create lub update do endpointów REST API wtyczek, takich jak partners, sales lub inventories, aby naruszyć segregację danych wielu firm.
Ocena ryzyka
Uwierzytelniony użytkownik API może tworzyć lub przenosić rekordy do niedozwolonych firm, co prowadzi do naruszenia segregacji danych wielu firm i integralności danych. Organizacja może ponieść konsekwencje prawne i utratę zaufania.
Rekomendacja
Zaktualizuj Aureus ERP do wersji nowszej niż 1.6.0, jeśli jest dostępna, lub wdróż kontrolę autoryzacji dla company_id w endpointach REST API. Ogranicz dostęp do tych endpointów i monitoruj nietypowe żądania.
Inne podatności w Aureus ERP
Zobacz wszystkie- CVE-2026-111284Średnie
Aureus ERP do wersji 1.6.0 zawiera podatność typu stored XSS w pliku HolidayAction.php. Uwierzytelnieni użytkownicy mogą wstrzykiwać skrypty JavaScript poprzez nieescapowane nazwy świąt renderowane jako HtmlString, które wykonują się gdy menedżerowie HR lub administratorzy otwierają modal świąt.
- CVE-2026-110878Średnie
System Aureus ERP do wersji 1.6.0 zawiera podatność trwałego skryptowania krzyżowego (stored XSS), umożliwiającą uwierzytelnionym użytkownikom wstrzykiwanie skryptów poprzez nieescapowane nazwy typu operacji i lokalizacji w plikach RuleForm.php i RuleInfolist.php. Atakujący może zapisać ładunki HTML/JavaScript w nazwach, które wykonują się, gdy menedżerowie magazynu lub administratorzy przeglądają lub edytują reguły inwentarza, wykonując działania w kontekście ich sesji.
- CVE-2026-110218Niskie
Aureus ERP do wersji 1.6.0 zawiera podatność na obejście autoryzacji, która pozwala nieuwierzytelnionym atakującym na odczyt nieopublikowanych szkiców wpisów na blogu przez stronę widoku posta dla klientów. Atakujący, którzy znają lub zgadną slug posta, mogą pobrać pełny tytuł, treść, obraz, tagi, autora i datę publikacji, ponieważ PostResource pomija autoryzację, a ViewPost ignoruje is_published.
- CVE-2026-97062Średnie
Aureus ERP do wersji 1.6.0 (poprawka w commit 53ad76d) przechowuje przesłane pliki SVG na publicznym dysku i serwuje je z pochodzenia aplikacji, co pozwala uwierzytelnionym użytkownikom na przesyłanie złośliwych plików SVG zawierających JavaScript. Atakujący mogą tworzyć pliki SVG z elementami script, które wykonują się w pochodzeniu aplikacji po otwarciu URL-a pliku, umożliwiając kradzież ciasteczek sesji i eksfiltrację tokenów CSRF.
- CVE-2026-95655Wysokie
Aureus ERP przed wersją 1.5.0 nie ogranicza wyszukiwania wiadomości do bieżącego rekordu w ChatterPanel, umożliwiając uwierzytelnionym użytkownikom dostęp do dowolnych wiadomości. Atakujący mogą podawać kolejne identyfikatory wiadomości, aby czytać, edytować, usuwać lub przypinać wiadomości z innych działów lub firm oraz wyliczać wszystkie notatki w systemie.
- CVE-2026-94387Średnie
Aureus ERP w wersjach przed 1.6.0 zawiera podatność typu stored cross-site scripting w logu zmian pola Chatter, gdzie wpisy old_value i new_value są renderowane bez prawidłowego escapowania. Każdy użytkownik uprawniony do edycji śledzonych pól tekstowych może wstrzyknąć złośliwy markup, który wykona się, gdy inni użytkownicy, w tym administratorzy, wyświetlą panel Chatter rekordu.
- CVE-2026-93454Średnie
Aureus ERP do wersji 1.6.0 przechowuje pole notatki warunków płatności bez sanityzacji i renderuje je jako surowy HTML we wtyczce Księgowość. Uwierzytelnieni użytkownicy z uprawnieniami do tworzenia warunków płatności mogą przesłać dowolny kod JavaScript do punktu końcowego payment-terms, który jest zapisywany w bazie danych i wykonywany w przeglądarkach wszystkich użytkowników przeglądających ten rekord.
Oryginalny opis (angielski, źródło NVD)
Aureus ERP through 1.6.0 contains an authorization bypass vulnerability that allows authenticated API users to create or move records into disallowed companies by supplying a foreign company_id. Attackers can submit create or update requests to plugin REST API endpoints such as partners, sales, or inventories to break multi-company data segregation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS