CVE-2026-72910
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
ERPNext to darmowe narzędzie do planowania zasobów przedsiębiorstwa. Przed wersjami 15.112.0 i 16.22.0 funkcje merge_account, pause_job_for_doc, trigger_job_for_doc, change_release_date i update_cost_center w plikach erpnext/accounts/doctype/account/account.py, erpnext/accounts/doctype/process_payment_reconciliation/process_payment_reconciliation.py, erpnext/accounts/doctype/purchase_invoice/purchase_invoice.py i erpnext/accounts/utils.py pomijają wymagane kontrole uprawnień do zapisu, co pozwala uwierzytelnionym użytkownikom z ograniczonymi uprawnieniami na modyfikowanie chronionych danych poza ich rolami. Problem naprawiono w wersjach 15.112.0 i 16.22.0.
Ocena ryzyka
Ryzyko nieautoryzowanej modyfikacji danych finansowych i konfiguracyjnych przez użytkowników z ograniczonymi uprawnieniami, co może prowadzić do naruszenia integralności danych.
Rekomendacja
Zaktualizuj ERPNext do wersji 15.112.0 lub 16.22.0 (lub nowszej), aby zapewnić odpowiednie kontrole uprawnień do zapisu.
Oryginalny opis (angielski, źródło NVD)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.112.0 and 16.22.0, the merge_account, pause_job_for_doc, trigger_job_for_doc, change_release_date, and update_cost_center functions across erpnext/accounts/doctype/account/account.py, erpnext/accounts/doctype/process_payment_reconciliation/process_payment_reconciliation.py, erpnext/accounts/doctype/purchase_invoice/purchase_invoice.py, and erpnext/accounts/utils.py omit required write permission checks, allowing authenticated limited users to modify protected data beyond their roles. This issue is fixed in versions 15.112.0 and 16.22.0.