CVE-2026-109376
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
ERPNext od wersji 15.55.0 do 16.50.0 zawiera lukę nieprawidłowej autoryzacji w metodzie get_timesheet_html, która pozwala uwierzytelnionym użytkownikom portalu przeglądać Timesheets projektu. Metoda sprawdza tylko dostęp do odczytu projektu, ignorując hide_timesheets i członkostwo w projekcie, więc atakujący mogą uzyskać nazwy timesheetów, status, daty dzienników czasu i ostatnich modyfikujących.
Ocena ryzyka
Organizacja może doświadczyć wycieku informacji o czasie pracy i projektach, co może naruszyć prywatność pracowników i poufność danych projektowych. Może to prowadzić do nieautoryzowanego wglądu w wewnętrzne procesy i obciążenie pracą.
Rekomendacja
Zaktualizuj ERPNext do wersji nowszej niż 16.50.0, jeśli jest dostępna, lub popraw metodę get_timesheet_html, aby uwzględniała hide_timesheets i członkostwo w projekcie. Ogranicz dostęp użytkowników portalu do danych timesheetów i monitoruj nietypowe żądania.
Inne podatności w ERPNext
Zobacz wszystkie- CVE-2026-44447Wysokie
ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 16.9.0 niektóre punkty końcowe były podatne na atak typu SQL injection, co mogło umożliwić złośliwemu użytkownikowi wyciągnięcie wrażliwych informacji.
- CVE-2026-44446Wysokie
ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 15.104.3 i 16.14.0 niektóre punkty końcowe były podatne na atak typu SQL injection, co mogło umożliwić złośliwemu użytkownikowi wyciągnięcie wrażliwych informacji.
- CVE-2018-3885Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania HTTP mogą prowadzić do kompromitacji danych poprzez wykorzystanie parametru order_by.
- CVE-2018-3884Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania webowe mogą prowadzić do kompromitacji danych.
- CVE-2018-3883Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na wstrzykiwanie SQL w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania sieciowe mogą prowadzić do kompromitacji danych poprzez atak SQL injection.
- CVE-2018-3882Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Złośliwie skonstruowane żądania webowe mogą prowadzić do kompromitacji danych poprzez wykorzystanie parametru searchfield.
- CVE-2026-65974Krytyczne
ERPNext to darmowe narzędzie do planowania zasobów przedsiębiorstwa o otwartym kodzie źródłowym. Przed wersjami 15.111.0 i 16.22.0, ograniczeni uwierzytelnieni użytkownicy mogą przekroczyć granicę uprawnień w bezpiecznym wykonywaniu Frappe, ponieważ frappe.render_template jest udostępniane bez wymuszania restrict_globals, co pozwala na wstrzyknięcie szablonów po stronie serwera i zdalne wykonanie kodu. Problem został naprawiony w wersjach 15.111.0 i 16.22.0.
- CVE-2026-72911Krytyczne
ERPNext przed wersjami 15.118.0 i 16.29.0 zawiera podatność polegającą na niebezpiecznym renderowaniu szablonów w procesie generowania wyciągów z kont. Uwierzytelniony użytkownik z typową rolą operacyjną może wstrzyknąć wyrażenia szablonu, wykonać dowolny kod po stronie serwera i odczytać dane w całej aplikacji.
- CVE-2026-44442Krytyczne
ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 16.9.1, niektóre punkty końcowe nie egzekwowały odpowiednich kontroli autoryzacji, co pozwalało użytkownikom na modyfikację danych wykraczających poza ich uprawnienia.
- CVE-2026-38431Krytyczne
ERPNext w wersji 15.103.1 i starszych jest podatny na wstrzykiwanie szablonów po stronie serwera (SSTI). Osoba z uprawnieniami do tworzenia lub edycji szablonów e-mail może wstrzyknąć wyrażenia szablonu, które są wykonywane na serwerze podczas renderowania.
Oryginalny opis (angielski, źródło NVD)
ERPNext 15.55.0 through 16.50.0 contains an incorrect authorization vulnerability in the get_timesheet_html method that lets authenticated portal users view project Timesheets. The method only checks Project read access, ignoring hide_timesheets and project membership, so attackers can retrieve timesheet names, status, time-log dates and last modifiers.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS