JVNDB-2026-002995

jishenghuaのjshERPにおけるパストラバーサルの脆弱性

jishenghua jshERP バージョン 3.6 までに脆弱性が確認されました。この脆弱性は、コンポーネント PluginController の /jshERP-boot/plugin/uploadPluginConfigFile ファイルの未知の機能に影響を及ぼします。引数 configFile の操作によりパストラバーサルが発生します。この攻撃はリモートから実行される可能性があります。エクスプロイトは公開されており、悪用される恐れがあります。プロジェクトは問題について早期に報告を受けましたが、まだ対応していません。

jishenghua

• jshERP 3.6 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Vulnerability Database

• VulDB : CVE-2026-1549 jishenghua jshERP PluginController uploadPluginConfigFile path traversal (Issue 146)
• VulDB : Submit #739805: https://github.com/jishenghua/jshERP jshERP v3.6 Path Traversal

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-1549

1. National Vulnerability Database (NVD) : CVE-2026-1549
2. 関連文書 : Path traversal Vulnerability in PluginController  Issue #146  jishenghua/jshERP (https://github.com/jishenghua/jshERP/issues/146)
3. 関連文書 : Path traversal Vulnerability in PluginController  Issue #146  jishenghua/jshERP (https://github.com/jishenghua/jshERP/issues/146#issue-3817997461)
4. 関連文書 : GitHub - jishenghua/jshERP: 管伊佳ERP（原名夏ERP）基于SpringBoot框架和SaaS模式，立志中小企提供源好用的ERP件，目前注存+功能。主要模有零售管理、采管理、售管理、管理、管理、表、系管理等。支持付款、收入支出、、装拆卸、等特色功能。有存状况、出入等表。同角色和

• [2026年02月12日]
    掲載