Podatności Frappe ERPNext
3 znanych podatności CVE w Frappe ERPNext, przetłumaczonych i ocenionych.
- CVE-2026-96672Średnie
Frappe ERPNext w wersjach przed 16.34.1 nie weryfikuje, czy wartości calculation_formula w szablonach raportów finansowych odwołują się do dozwolonych metod, przed przekazaniem ich do frappe.call(). Menedżerowie kont mogą podać dowolne ścieżki Pythona, aby wywołać nieautoryzowane wewnętrzne metody serwera i odczytać ich wyniki.
- CVE-2026-94113Średnie
Frappe ERPNext w wersjach przed 15.121.0 oraz 16.x przed 16.34.0 zawiera podatność na ujawnienie informacji w biało-listowanych punktach końcowych timesheet, które nie egzekwują uprawnień doctype. Uwierzytelnieni atakujący mogą wywołać get_projectwise_timesheet_data, get_timesheet_detail_rate i get_timesheet, aby wyliczyć i pobrać rozliczane dzienniki czasu, w tym nazwy projektów, kwoty rozliczeń i opisy prac, bez odpowiednich kontroli autoryzacji.
- CVE-2022-28598Średnie
Frappe ERPNext w wersji 12.29.0 zawiera podatność na ataki XSS. Oprogramowanie nie neutralizuje lub nieprawidłowo neutralizuje dane wejściowe kontrolowane przez użytkownika przed umieszczeniem ich w wynikach używanych jako strona internetowa serwowana innym użytkownikom.