CVE-2026-54524
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
W Frappe HR (open-source rozwiązaniu do zarządzania zasobami ludzkimi) przed wersją 16.7.0 uwierzytelniony użytkownik z rolą HR User może wstrzyknąć SQL przez filtry w raporcie Salary Payments Based on Payment Mode. W pliku hrms/payroll/report/salary_payments_based_on_payment_mode/salary_payments_based_on_payment_mode.py funkcja get_conditions buduje klauzule filtrów z wartości kontrolowanych przez użytkownika, a get_data włącza te klauzule do zapytania SQL formatowanego jako string, umożliwiając ekstrakcję dowolnych danych z bazy. Luka jest naprawiona w wersji 16.7.0.
Ocena ryzyka
Uwierzytelniony użytkownik z rolą HR User może wykorzystać wstrzyknięcie SQL do wyodrębnienia dowolnych danych z bazy danych, co może prowadzić do wycieku poufnych informacji, w tym danych pracowników i płacowych.
Rekomendacja
Zaktualizuj Frappe HR do wersji 16.7.0 lub nowszej. Ogranicz role uprzywilejowane i monitoruj nietypowe zapytania do raportów płacowych.
Inne podatności w Frappe HR
Zobacz wszystkie- CVE-2026-108733Średnie
Frappe HR (hrms) przed wersją 16.11.0, w tym wszystkie wydania 14.x i 15.x do 15.64.3, zawiera podatność braku autoryzacji w metodzie expire_allocation na białej liście, która pozwala uwierzytelnionym użytkownikom wygasić dowolne przydziały urlopowe. Atakujący bez ról HR może wskazać przydział urlopowy innego pracownika w żądaniu POST, aby wyzerować przydzielone urlopy i usunąć pozostały balans urlopowy tego pracownika.
- CVE-2026-108732Średnie
Frappe HR (hrms) przed wersją 16.11.0, w tym wszystkie wydania 14.x i 15.x do 15.64.3, zawiera podatność braku autoryzacji w metodzie get_account_and_amount na białej liście, która pozwala uwierzytelnionym użytkownikom czytać kwoty wynagrodzeń. Atakujący bez ról HR może wywołać tę metodę przez /api/method z wyliczalnymi nazwami dokumentów Salary Slip lub claim, aby ujawnić wynagrodzenia netto innych pracowników oraz salda pożyczek, zaliczek i roszczeń.
- CVE-2026-101006Średnie
W Frappe HR do wersji 16.15.0 wykryto podatność w funkcjach get_expense_claims/get_shift_requests/get_attendance_requests w pliku hrms/api/__init__.py (komponent Permission Validation). Manipulacja argumentem employee prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie; producent potwierdził, że problem został już naprawiony.
Oryginalny opis (angielski, źródło NVD)
Frappe HR is an open-source human resources management solution (HRMS). Prior to 16.7.0, an authenticated user with the HR User role can inject SQL through filters in the Salary Payments Based on Payment Mode report. In hrms/payroll/report/salary_payments_based_on_payment_mode/salary_payments_based_on_payment_mode.py, get_conditions constructs filter clauses from user-controlled values and get_data incorporates those clauses into a string-formatted SQL query, allowing extraction of arbitrary database data. This issue is fixed in 16.7.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS