CVE-2026-94113
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Frappe ERPNext w wersjach przed 15.121.0 oraz 16.x przed 16.34.0 zawiera podatność na ujawnienie informacji w biało-listowanych punktach końcowych timesheet, które nie egzekwują uprawnień doctype. Uwierzytelnieni atakujący mogą wywołać get_projectwise_timesheet_data, get_timesheet_detail_rate i get_timesheet, aby wyliczyć i pobrać rozliczane dzienniki czasu, w tym nazwy projektów, kwoty rozliczeń i opisy prac, bez odpowiednich kontroli autoryzacji.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do wrażliwych danych dotyczących czasu pracy i rozliczeń, co może naruszyć poufność informacji biznesowych.
Rekomendacja
Zaleca się natychmiastową aktualizację ERPNext do wersji 15.121.0 lub 16.34.0, a także wdrożenie kontroli dostępu na poziomie punktów końcowych timesheet.
Inne podatności w Frappe ERPNext
Zobacz wszystkie- CVE-2026-96672Średnie
Frappe ERPNext w wersjach przed 16.34.1 nie weryfikuje, czy wartości calculation_formula w szablonach raportów finansowych odwołują się do dozwolonych metod, przed przekazaniem ich do frappe.call(). Menedżerowie kont mogą podać dowolne ścieżki Pythona, aby wywołać nieautoryzowane wewnętrzne metody serwera i odczytać ich wyniki.
- CVE-2022-28598Średnie
Frappe ERPNext w wersji 12.29.0 zawiera podatność na ataki XSS. Oprogramowanie nie neutralizuje lub nieprawidłowo neutralizuje dane wejściowe kontrolowane przez użytkownika przed umieszczeniem ich w wynikach używanych jako strona internetowa serwowana innym użytkownikom.
Oryginalny opis (angielski, źródło NVD)
Frappe ERPNext versions before 15.121.0 and 16.x before 16.34.0 contain an information disclosure vulnerability in whitelisted timesheet endpoints that fail to enforce doctype permissions. Authenticated attackers can call get_projectwise_timesheet_data, get_timesheet_detail_rate, and get_timesheet endpoints to enumerate and retrieve billable time logs including project names, billing amounts, and work descriptions without proper authorization checks.