CVE-2026-96672
ŚrednieCVSS 6.4Streszczenie
Frappe ERPNext w wersjach przed 16.34.1 nie weryfikuje, czy wartości calculation_formula w szablonach raportów finansowych odwołują się do dozwolonych metod, przed przekazaniem ich do frappe.call(). Menedżerowie kont mogą podać dowolne ścieżki Pythona, aby wywołać nieautoryzowane wewnętrzne metody serwera i odczytać ich wyniki.
Ocena ryzyka
Uwierzytelniony użytkownik z uprawnieniami menedżera kont może uzyskać dostęp do danych i funkcji serwera, do których nie powinien mieć dostępu.
Rekomendacja
Zaktualizuj Frappe ERPNext do wersji 16.34.1 lub nowszej i ogranicz uprawnienia menedżerów kont do minimum.
Inne podatności w Frappe ERPNext
Zobacz wszystkie- CVE-2026-94113Średnie
Frappe ERPNext w wersjach przed 15.121.0 oraz 16.x przed 16.34.0 zawiera podatność na ujawnienie informacji w biało-listowanych punktach końcowych timesheet, które nie egzekwują uprawnień doctype. Uwierzytelnieni atakujący mogą wywołać get_projectwise_timesheet_data, get_timesheet_detail_rate i get_timesheet, aby wyliczyć i pobrać rozliczane dzienniki czasu, w tym nazwy projektów, kwoty rozliczeń i opisy prac, bez odpowiednich kontroli autoryzacji.
- CVE-2022-28598Średnie
Frappe ERPNext w wersji 12.29.0 zawiera podatność na ataki XSS. Oprogramowanie nie neutralizuje lub nieprawidłowo neutralizuje dane wejściowe kontrolowane przez użytkownika przed umieszczeniem ich w wynikach używanych jako strona internetowa serwowana innym użytkownikom.
Oryginalny opis (angielski, źródło NVD)
Frappe ERPNext versions before 16.34.1 fail to validate that Financial Report Template calculation_formula values reference whitelisted methods before passing them to frappe.call(). Accounts Managers can supply arbitrary dotted Python paths to invoke non-whitelisted internal server-side methods and read their return values.