CVE-2026-109672
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Frappe ERPNext przed 15.118.0 oraz 16.x przed 16.27.0 zawiera podatność braku autoryzacji w niektórych endpointach, które nie egzekwują właściwych kontroli uprawnień.
Ocena ryzyka
Uwierzytelnieni użytkownicy mogą odpytywać te endpointy, aby odczytać dane finansowe wykraczające poza ich przypisaną rolę.
Rekomendacja
Zaktualizuj Frappe ERPNext do wersji 15.118.0 lub nowszej (dla 15.x) albo 16.27.0 lub nowszej (dla 16.x) oraz zweryfikuj kontrole autoryzacji w endpointach.
Inne podatności w Frappe ERPNext
Zobacz wszystkie- CVE-2026-109674Średnie
Frappe ERPNext przed 15.98.0 oraz 16.x przed 16.6.0 zawiera podatność SQL injection w niektórych endpointach spowodowaną brakiem walidacji danych wejściowych.
- CVE-2026-109673Wysokie
Frappe ERPNext przed wersją 15.103.0 oraz 16.x przed 16.12.0 zawiera podatność typu stored XSS, ponieważ nazwy niektórych rekordów nie są prawidłowo neutralizowane podczas renderowania na niektórych pulpitach, narzędziach i portalach. Uwierzytelniony atakujący może tworzyć złośliwe nazwy rekordów, które wykonują skrypty w przeglądarkach innych użytkowników.
- CVE-2026-109671Wysokie
Frappe ERPNext przed wersją 15.113.0 oraz 16.x przed 16.24.0 zawiera podatność typu stored XSS w polu profilu, które jest renderowane bez escapowania na stronach portalu. Atakujący z niskimi uprawnieniami może zapisać złośliwy skrypt, który wykona się w przeglądarce administratora przeglądającego te strony.
- CVE-2026-109670Średnie
Frappe ERPNext przed 15.110.0 oraz 16.x przed 16.21.0 zawiera podatność trwałego cross-site scripting (stored XSS) spowodowaną renderowaniem nazw rekordów bez escapowania.
- CVE-2026-109669Średnie
Frappe ERPNext przed 15.110.0 oraz 16.x przed 16.21.0 zawiera podatność braku autoryzacji, w której niektóre endpointy nie egzekwują właściwych kontroli uprawnień przy zmianach statusu rekordów.
- CVE-2026-109668Średnie
Frappe ERPNext przed 15.110.0 oraz 16.x przed 16.21.0 zawiera podatność braku autoryzacji w niektórych endpointach obsługujących rekordy stron (party records), pozwalającą uwierzytelnionym użytkownikom modyfikować dane wykraczające poza ich rolę.
- CVE-2026-109667Wysokie
Frappe ERPNext przed wersją 15.111.0 oraz 16.x przed 16.22.0 zawiera podatność typu privilege escalation w punkcie końcowym tworzenia rekordów, który pobiera typ rekordu z żądania i wstawia rekord z wyłączonymi kontrolami uprawnień. Każdy uwierzytelniony użytkownik, nawet bez roli operacyjnej, może podać uprzywilejowany typ rekordu, aby utworzyć uprzywilejowane konta.
- CVE-2026-109666Średnie
Frappe ERPNext przed 15.110.0 oraz 16.x przed 16.21.0 zawiera podatność braku autoryzacji w niektórych endpointach, które nie egzekwują właściwych kontroli uprawnień na rekordach inwentarza.
- CVE-2026-109665Średnie
Frappe ERPNext przed 15.108.0 oraz 16.x przed 16.18.0 zawiera podatność braku autoryzacji w niektórych endpointach, które nie egzekwują właściwych kontroli uprawnień.
- CVE-2026-109664Średnie
Frappe ERPNext przed wersją 15.112.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom z typową rolą operacyjną na modyfikowanie rekordów poza ich uprawnieniami z powodu braku walidacji w niektórych punktach końcowych. Atakujący posiadający tę rolę mogą wywołać te punkty końcowe, aby zmienić pole w rekordach typów, które nie są objęte ich uprawnieniami, manipulując danymi, którymi nie powinni zarządzać.
Oryginalny opis (angielski, źródło NVD)
Frappe ERPNext before 15.118.0 and 16.x before 16.27.0 contains a missing authorization vulnerability in certain endpoints that fail to enforce proper authorization checks. Authenticated users can query these endpoints to read financial data beyond what their assigned role permits.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS