CVE-2026-72906
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
ERPNext przed wersjami 15.111.0 i 16.22.0 ma podatność w funkcji send_auto_email w erpnext/accounts/doctype/process_statement_of_accounts/process_statement_of_accounts.py, która nie sprawdza uprawnień Process Statement Of Accounts. Uwierzytelniony użytkownik z niskimi uprawnieniami może wyzwalać automatyczne e-maile poza dozwoloną rolą.
Ocena ryzyka
Ryzyko wysyłania nieautoryzowanych wiadomości e-mail, co może prowadzić do naruszenia poufności komunikacji lub wykorzystania do phishingu.
Rekomendacja
Zaktualizuj ERPNext do wersji 15.111.0 lub 16.22.0, w których naprawiono tę podatność. Ogranicz uprawnienia użytkowników i monitoruj wysyłkę e-maili.
Oryginalny opis (angielski, źródło NVD)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.111.0 and 16.22.0, the send_auto_email function in erpnext/accounts/doctype/process_statement_of_accounts/process_statement_of_accounts.py lacks a Process Statement Of Accounts permission check, allowing an authenticated low-privilege user to trigger automated emails outside the permitted role. This issue is fixed in versions 15.111.0 and 16.22.0.