jshERP: Massenzuweisung im Benutzer-Update erlaubt Kontoübernahme
Zusammenfassung
jshERP bis einschliesslich 3.6 enthält eine Massenzuweisung (Mass Assignment) im Benutzer-Update-Endpunkt PUT /user/update. Ein authentifizierter Benutzer mit einem beliebigen Konto mit niedrigen Rechten kann geschützte Felder wie tenant_id und password überschreiben. Dadurch kann in einen anderen Mandanten gewechselt oder die Konten anderer Benutzer durch neue Passwort-Hashes übernommen werden.
Betroffen
- jishenghua jshERP 0 bis einschliesslich 3.6 (laut CVE-Eintrag)
Behoben in
Unbekannt. Es wurde kein Herstellerhinweis oder gepatchte Version identifiziert.
Umgehung
- Kein vom Hersteller bestätigter Workaround.
- Netzwerkzugriff auf die jshERP-Anwendung einschränken.
- Selbstregistrierung einschränken oder deaktivieren und nicht benötigte Konten entfernen.
- Mandantenzuordnungen und Passwortänderungen auf Auffälligkeiten prüfen.
Ausnutzung
- Ein öffentlicher Proof of Concept ist verfügbar (VulnCheck führt einen Researcher-PoC auf).
- Nicht im CISA-KEV-Katalog aufgeführt; keine bestätigte Ausnutzung in freier Wildbahn gefunden.
- EPSS unter 1 Prozent (OpenCVE).
Unsere Empfehlung
- Alle jshERP-Instanzen und deren Versionen erfassen.
- Exposition ins Internet und die gemeinsame Nutzung mehrerer Mandanten einschränken, bis eine Korrektur bestätigt ist.
- Kontoerstellung einschränken und bestehende Konten sowie Mandantenzuordnungen überprüfen.
- Auf unerwartete Passwortänderungen und Mandantenwechsel achten.
- Das Repository des Herstellers und die NVD auf eine korrigierte Version prüfen und diese bei Verfügbarkeit einspielen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- jshERP UserController.java (vulnerable code) github.com
- jshERP UserService.java (vulnerable code) github.com
- OSV record CVE-2026-109186 osv.dev
- OpenCVE CVE-2026-109186 app.opencve.io
- jshERP issue 165 (multi-tenant registration) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:56.
Referenzen der NVD (4)
- https://github.com/AnkesKasty/cve-request-poc/blob/a7b6d1423555812d8efa26c91c5d0683164b31e5/jshERP/poc_identi…
- https://github.com/jishenghua/jshERP/blob/8f28e7c2fe54d54de3621a414f5df1833dc5a55f/jshERP-boot/src/main/java/…
- https://github.com/jishenghua/jshERP/blob/8f28e7c2fe54d54de3621a414f5df1833dc5a55f/jshERP-boot/src/main/java/…
- https://www.vulncheck.com/advisories/jsherp-through-3.6-mass-assignment-via-put-user-update
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.