CVE-2026-108733
ŚrednieCVSS 4.3Streszczenie
Frappe HR (hrms) przed wersją 16.11.0, w tym wszystkie wydania 14.x i 15.x do 15.64.3, zawiera podatność braku autoryzacji w metodzie expire_allocation na białej liście, która pozwala uwierzytelnionym użytkownikom wygasić dowolne przydziały urlopowe. Atakujący bez ról HR może wskazać przydział urlopowy innego pracownika w żądaniu POST, aby wyzerować przydzielone urlopy i usunąć pozostały balans urlopowy tego pracownika.
Ocena ryzyka
Atakujący może wyzerować balanse urlopowe innych pracowników, co prowadzi do zakłóceń w zarządzaniu zasobami ludzkimi i potencjalnych konfliktów pracowniczych. Ryzyko obejmuje również możliwość sabotażu danych HR i utraty zaufania do systemu.
Rekomendacja
Zaktualizuj Frappe HR do wersji 16.11.0 lub nowszej oraz wdrożyć sprawdzanie uprawnień w metodzie expire_allocation. Monitoruj logi pod kątem nieautoryzowanych wywołań tej metody i przywróć ewentualne zmiany w balansach urlopowych.
Inne podatności w Frappe HR
Zobacz wszystkie- CVE-2026-108732Średnie
Frappe HR (hrms) przed wersją 16.11.0, w tym wszystkie wydania 14.x i 15.x do 15.64.3, zawiera podatność braku autoryzacji w metodzie get_account_and_amount na białej liście, która pozwala uwierzytelnionym użytkownikom czytać kwoty wynagrodzeń. Atakujący bez ról HR może wywołać tę metodę przez /api/method z wyliczalnymi nazwami dokumentów Salary Slip lub claim, aby ujawnić wynagrodzenia netto innych pracowników oraz salda pożyczek, zaliczek i roszczeń.
- CVE-2026-101006Średnie
W Frappe HR do wersji 16.15.0 wykryto podatność w funkcjach get_expense_claims/get_shift_requests/get_attendance_requests w pliku hrms/api/__init__.py (komponent Permission Validation). Manipulacja argumentem employee prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie; producent potwierdził, że problem został już naprawiony.
- CVE-2026-54524Wysokie
W Frappe HR (open-source rozwiązaniu do zarządzania zasobami ludzkimi) przed wersją 16.7.0 uwierzytelniony użytkownik z rolą HR User może wstrzyknąć SQL przez filtry w raporcie Salary Payments Based on Payment Mode. W pliku hrms/payroll/report/salary_payments_based_on_payment_mode/salary_payments_based_on_payment_mode.py funkcja get_conditions buduje klauzule filtrów z wartości kontrolowanych przez użytkownika, a get_data włącza te klauzule do zapytania SQL formatowanego jako string, umożliwiając ekstrakcję dowolnych danych z bazy. Luka jest naprawiona w wersji 16.7.0.
Oryginalny opis (angielski, źródło NVD)
Frappe HR (hrms) before 16.11.0, including all 14.x and 15.x releases through 15.64.3, contains a missing authorization vulnerability in the whitelisted expire_allocation method that allows authenticated users to expire any leave allocation. Attackers without HR roles can name another employee's Leave Allocation in a POST request to zero its allocated leaves and wipe that employee's remaining leave balance.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS