CVE-2026-72909
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
ERPNext to darmowe narzędzie do planowania zasobów przedsiębiorstwa. Przed wersjami 15.112.0 i 16.23.0 ścieżka prepare_conditions w raporcie ReceivablePayableReport w pliku erpnext/accounts/report/accounts_receivable/accounts_receivable.py nie stosuje uprawnień użytkownika Customer i Supplier do dynamicznego pola party w Payment Ledger Entry, co pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt nieautoryzowanych danych finansowych między firmami w raportach Accounts Receivable i Accounts Payable. Problem naprawiono w wersjach 15.112.0 i 16.23.0.
Ocena ryzyka
Ryzyko ujawnienia poufnych danych finansowych między firmami, co może prowadzić do naruszenia poufności i zgodności.
Rekomendacja
Zaktualizuj ERPNext do wersji 15.112.0 lub 16.23.0 (lub nowszej), aby naprawić problem z uprawnieniami dostępu do danych.
Oryginalny opis (angielski, źródło NVD)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.112.0 and 16.23.0, the ReceivablePayableReport prepare_conditions path in erpnext/accounts/report/accounts_receivable/accounts_receivable.py does not apply Customer and Supplier user permissions to the Payment Ledger Entry dynamic-link party field, allowing any authenticated user to read unauthorized cross-company financial data in Accounts Receivable and Accounts Payable reports. This issue is fixed in versions 15.112.0 and 16.23.0.