CVE-2026-121442

ŚrednieCVSS 4.3

Opublikowano: 03/11/2026(UTC)Zaktualizowano: 03/11/2026(UTC)Przetłumaczono: 03/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

System Frappe HRMS w wersjach przed 15.61.0 zawiera podatność na obejście uprawnień, która pozwala uwierzytelnionym pracownikom na przeglądanie szczegółów zaliczek wydatkowych innych pracowników z powodu nieprawidłowych kontroli autoryzacji. Atakujący może odpytywać API Expense Claim Advances w celu pobrania rekordów zaliczek należących do innych pracowników, ujawniając poufne informacje finansowe.

Ocena ryzyka

Organizacja może doświadczyć wycieku poufnych danych finansowych pracowników. Może to naruszyć prywatność i zaufanie oraz prowadzić do naruszenia zgodności.

Rekomendacja

Zaktualizuj Frappe HRMS do wersji 15.61.0 lub nowszej. Zweryfikuj i wzmocnij mechanizmy autoryzacji w API.

Inne podatności w Frappe HRMS

CVE-2026-111389Wysokie
Frappe HRMS w wersjach 14.x przed 14.38.2, 15.x przed 15.64.0 i 16.x przed 16.18.0 zawiera podatność na wstrzyknięcie SQL w niektórych punktach końcowych z powodu braku walidacji danych wejściowych. Każdy uwierzytelniony atakujący, w tym konto o niskich uprawnieniach, może wysłać specjalnie spreparowane żądania, aby wyodrębnić poufne informacje z bazy danych.

Oryginalny opis (angielski, źródło NVD)

Frappe HRMS before 15.61.0 contains a permission bypass vulnerability that allows authenticated employees to view other employees' expense advance details due to improper authorization checks. Attackers can query the Expense Claim Advances API to retrieve expense advance records belonging to other employees, exposing sensitive financial information.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS