CVE-2026-1546: Injeção de SQL no jshERP da Jishenghua via importação de itens em Excel

Visão geral

O registro público descreve uma fraqueza de injeção de SQL (CWE-89) no jshERP até a versão 3.6. A função getBillItemByParam, acessada pelo endpoint de importação de itens em Excel, processa o argumento barCodes. O registro afirma que o problema pode ser iniciado remotamente.

Impacto

A NVD atribui nota base CVSS 3.1 de 9.8 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que, se correto, indica alto impacto em confidencialidade, integridade e disponibilidade.
O CNA VulDB apresenta outras notas: 6.3 na versão 3.1, 6.5 na versão 2.0 e 2.1 na versão 4.0.
Uma injeção de SQL bem-sucedida poderia expor ou alterar dados do banco, dependendo dos privilégios da conta de banco e da implantação.

Produtos e versões afetadas

Jishenghua jshERP, versões até a 3.6 inclusive, segundo o registro.
O registro não lista versões corrigidas. Isso não prova que não exista correção.

Situação de exploração

O registro informa que o exploit foi divulgado publicamente e pode ser usado.
A CVE não consta no catálogo KEV da CISA. Nas fontes consultadas não há registro de exploração confirmada no mundo real.

Correção e mitigação

Verifique atualizações no projeto upstream: jshERP no GitHub.
O projeto foi notificado por meio de um relatório de issue e não havia respondido quando o registro foi feito. Considere a instalação sem correção até que uma solução seja confirmada.
Restrinja o acesso à funcionalidade de importação a usuários e redes confiáveis.
Em forks ou código próprio, use consultas parametrizadas e validação rigorosa de todos os parâmetros que chegam ao banco.
Limite a conta de banco usada pela aplicação aos privilégios estritamente necessários.

Detecção

Analise logs de servidor web e da aplicação em busca de requisições incomuns ao endpoint de importação, sobretudo valores anormais ou muito grandes no parâmetro barCodes.
Monitore logs do banco de dados em busca de erros de consulta inesperados ou padrões incomuns originados da conta da aplicação.

Limitações das informações disponíveis

Nenhuma versão corrigida está listada.
Uma referência do VulDB traz a tag Permissions Required, enquanto o vetor CVSS indica que nenhum privilégio é necessário. O registro não deixa claro se há exigência de autenticação.
Não há dados de EPSS ou SSVC.
Detalhes técnicos de exploração foram omitidos de propósito.

Perguntas frequentes

Esta vulnerabilidade do jshERP está sendo explorada ativamente?

A CVE não consta no catálogo KEV da CISA e as fontes consultadas não confirmam exploração no mundo real. O registro informa que há exploit público divulgado e que ele pode ser usado, por isso sistemas expostos devem ser tratados como em risco.

Existe versão corrigida do jshERP para este problema?

O registro não lista versão corrigida, e o projeto não havia respondido ao relatório de issue quando o registro foi feito. Verifique o repositório upstream e considere a instalação sem correção até que uma solução seja confirmada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.