PT-2026-5265 · Jishenghua+1 · Jsherp+1

Mukyuuhate · Publicado 2026-01-29 · Atualizado 2026-01-29 · CVE-2026-1588

Positive Technologies (AI Summary) · Pt

CVSS v2.0

3.3

Baixa

Vetor base

AV:N/AC:L/Au:M/C:P/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas jishenghua jshERP versões anteriores à 3.6

Descrição Existe uma vulnerabilidade de path traversal na função install do arquivo /jshERP-boot/plugin/installByPath, dentro do componente com.gitee.starblues.integration.operator.DefaultPluginOperator. A manipulação do argumento path pode levar a path traversal. Este problema é potencialmente explorável remotamente. O exploit foi divulgado publicamente. Os mantenedores do projeto foram notificados, mas ainda não responderam.

Recomendações Versões anteriores à 3.6: Atualize para uma versão mais recente para corrigir a vulnerabilidade. Como solução temporária, restrinja o acesso ao endpoint /jshERP-boot/plugin/installByPath. Evite utilizar entrada não confiável para o parâmetro path.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-1588

Produtos afetados

Defaultpluginoperator

Jsherp

Referências · 9

• 🔥 https://github.com/jishenghua/jshERP/issues/147 · Exploit
• https://github.com/jishenghua/jshERP · Nota
• https://vuldb.com/?id.343351 · Nota
• https://twitter.com/VulmonFeeds/status/2016883609248891246 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-1588 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-1588 · Nota de Segurança
• https://twitter.com/CVEnew/status/2016881160450953682 · Publicação no Twitter
• https://vuldb.com/?ctiid.343351 · Nota
• https://vuldb.com/?submit.740649 · Nota