CVSS 8.8 — ALTO

CVE-2026-109185 — Vulnerabilità HIGH su N/A

Pubblicato il 2026-10-12 · Fonte: NVD NIST

CVE ID

CVE-2026-109185

CVSS Score

8.8

Vendor

N/A

Prodotti

N/A

Exploit pubblico

Non noto

Sfruttata (CISA)

Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Riassunto tecnico

jshERP through 3.6 contains a missing authorization vulnerability in the UserController updateUser handler that allows authenticated users to assign arbitrary roles to any user. Low-privilege attackers can send their own user id with the tenant administrator roleId to escalate privileges or rebind other tenant users' roles.

Impatto

Vulnerabilità con punteggio CVSS 8.8 (HIGH). Sfruttata attivamente: No.

Sistemi vulnerabili

Vendor: N/A
Prodotti: N/A

Mitigazioni

Applicare le patch del vendor appena disponibili. Monitorare gli advisory ufficiali.

Fonti ufficiali

🔗 NVD NIST — CVE-2026-109185

https://github.com/AnkesKasty/cve-request-poc/blob/a7b6d1423555812d8efa26c91c5d0
https://github.com/jishenghua/jshERP/blob/8f28e7c2fe54d54de3621a414f5df1833dc5a5
https://github.com/jishenghua/jshERP/blob/8f28e7c2fe54d54de3621a414f5df1833dc5a5
https://www.vulncheck.com/advisories/jsherp-through-3.6-privilege-escalation-via

Vuoi approfondire la cybersecurity? Scopri il libro "Ethical Hacker per Tutti" oppure prenota una lezione online.