jshERP: Fehlende Autorisierung ermöglicht Rechteausweitung über Benutzeraktualisierung

Zusammenfassung

jshERP bis und mit Version 3.6 prüft in der Benutzeraktualisierung (UserController updateUser) die Autorisierung nicht. Ein authentifizierter Benutzer mit niedrigen Rechten kann seine eigene Benutzer-ID zusammen mit der roleId der Mandanten-Administratorrolle senden und so Administratorrechte erlangen oder die Rollenzuweisungen anderer Benutzer desselben Mandanten ändern. Das Problem bleibt innerhalb eines Mandanten, gibt aber die volle Kontrolle über die Daten dieses Mandanten. Ein öffentlicher Proof of Concept wird referenziert; CISA SSVC führt Exploitation als none und Automatisierbarkeit als nicht möglich auf.

Betroffen

• jshERP Versionen 0 bis und mit 3.6
• Upstream-Repository: https://github.com/jishenghua/jshERP

Behoben in

Unbekannt. Kein Sicherheitshinweis des Herstellers oder fixe Version gefunden.

Umgehung

• Vom Hersteller wurde kein Workaround veröffentlicht.
• Zugriff auf jshERP mit VPN oder IP-Allowlist einschränken und direkte Internetexposition nach Möglichkeit entfernen.
• Jede Proxy-seitige Einschränkung des Endpunkts zur Benutzeraktualisierung vor dem Einsatz testen, da sie legitime Administrationsfunktionen beeinträchtigen kann.

Ausnutzung

• Eine Authentifizierung mit einem beliebigen gültigen Benutzerkonto ist erforderlich; keine Benutzerinteraktion nötig.
• Im CVE-Eintrag wird ein öffentlicher Proof of Concept referenziert. Dessen Inhalt wurde nicht überprüft.
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht in KEV aufgeführt.
• EPSS 0.00289.

Unsere Empfehlung

• Prüfen, ob jshERP-Instanzen in Version 3.6 oder älter laufen, auch Test- und Altsysteme.
• Netzwerkzugriff auf jshERP einschränken und, wenn möglich, die direkte Internetexposition entfernen.
• Benutzerkonten und Rollenzuweisungen prüfen, insbesondere die Mandanten-Administratorrolle, und nicht benötigte Konten entfernen.
• Anwendungsprotokolle auf Benutzeraktualisierungen mit Rollenänderungen prüfen.
• Bei vermutetem Missbrauch Administratorpasswörter erneuern und alle Benutzer des Mandanten überprüfen.
• Upstream-Repository und Hersteller auf eine korrigierte Version überwachen und diese sobald verfügbar einspielen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• Proof of concept (GitHub) github.com
• Vulnerable code: UserController.java (upstream commit 8f28e7c) github.com
• Vulnerable code: UserService.java (upstream commit 8f28e7c) github.com
• Vulners CVE-2026-109185 vulners.com
• OSV CVE-2026-109185 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:56.