Katalog podatności CVE

W Frappe ERPNext przed wersją 15.110.0 oraz w gałęzi 16.x przed 16.21.0 występuje luka SQL injection w niektórych endpointach spowodowana brakiem walidacji danych wejściowych. Uwierzytelnieni atakujący mogą wysyłać specjalnie spreparowane żądania, aby manipulować zapytaniami do bazy danych i wyodrębnić poufne informacje.

W Frappe ERPNext przed wersją 16.14.0 występuje luka braku autoryzacji, która pozwala uwierzytelnionym użytkownikom modyfikować dane podstawowe (master data) wykraczające poza ich uprawnienia. Atakujący mogą wysyłać żądania do niektórych endpointów bez odpowiednich kontroli autoryzacji, aby dokonywać nieautoryzowanych zmian w rekordach danych podstawowych.

W Frappe ERPNext przed wersją 15.115.0 oraz w gałęzi 16.x przed 16.26.0 występuje luka braku autoryzacji, ponieważ niektóre endpointy nie egzekwują poprawnych kontroli uprawnień. Uwierzytelnieni atakujący z kontami o niskich uprawnieniach mogą wywoływać te endpointy, aby odczytywać dane finansowe wykraczające poza ich rolę.

W Frappe ERPNext przed wersją 15.105.0 oraz w gałęzi 16.x przed 16.15.0 występuje luka braku autoryzacji w niektórych endpointach tworzenia dokumentów, które nie weryfikują, czy żądający użytkownik portalu należy do docelowej strony. Uwierzytelnieni użytkownicy portalu mogą wysyłać żądania do tych endpointów, aby tworzyć dokumenty w imieniu stron innych niż ich własna.

W Frappe ERPNext przed wersją 15.121.0 oraz w gałęzi 16.x przed 16.34.0 występuje luka SQL injection w niektórych endpointach z powodu braku walidacji danych wejściowych. Uwierzytelnieni atakujący z wysokimi uprawnieniami mogą wysyłać specjalnie spreparowane żądania, aby wstrzyknąć SQL i wyodrębnić poufne informacje z bazy danych.

Frappe ERPNext przed wersją 15.119.1 oraz 16.x przed 16.32.0 zawiera podatność typu stored XSS, ponieważ treści przesyłane przez publiczną stronę rezerwacji są przechowywane bez neutralizacji. Nieuwierzytelnieni atakujący mogą przesłać spreparowaną treść, która jest renderowana jako surowy HTML w sesji uprzywilejowanego użytkownika, wykonując skrypt w jego kontekście.

W Frappe ERPNext przed wersją 15.121.0 oraz w gałęzi 16.x przed 16.33.0 występuje luka braku autoryzacji, w której niektóre endpointy nie egzekwują poprawnych kontroli uprawnień. Uwierzytelnieni użytkownicy mogą wywoływać te endpointy bezpośrednio, aby odczytywać dane wykraczające poza ich rolę.

W Frappe ERPNext przed wersją 15.119.1 oraz w gałęzi 16.x przed 16.32.0 występuje luka SQL injection w niektórych endpointach, które nie walidują danych wejściowych, co pozwala spreparowanym danym zmieniać zapytania do bazy danych. Uwierzytelnieni atakujący z niskimi uprawnieniami mogą wysyłać specjalnie spreparowane żądania, aby wyodrębnić poufne informacje z bazy danych.

Frappe ERPNext przed wersją 15.121.0 oraz 16.x przed 16.34.0 zawiera podatność braku autoryzacji, w której niektóre punkty końcowe nie egzekwują odpowiednich kontroli uprawnień. Uwierzytelnieni atakujący mogą wywoływać te punkty, aby odczytać dane wykraczające poza ich przypisaną rolę.

Frappe ERPNext przed wersją 15.121.3 oraz 16.x przed 16.35.0 zawiera podatność braku autoryzacji w punkcie końcowym wysyłającym transakcyjne e-maile przez skonfigurowane konto wychodzące bez sprawdzania uprawnień wywołującego. Każdy uwierzytelniony użytkownik może podać dowolne listy odbiorców i treść wiadomości, wysyłając wiadomości kontrolowane przez atakującego z tożsamością nadawcy organizacji.

Frappe ERPNext przed wersją 15.121.0 oraz 16.x przed 16.34.0 zawiera podatność braku autoryzacji w niektórych punktach końcowych, które nie egzekwują odpowiednich kontroli ról podczas modyfikowania statusu rekordów. Uwierzytelnieni atakujący z niskimi uprawnieniami mogą wywoływać te punkty, aby zmieniać dane wykraczające poza ich dozwoloną rolę, naruszając integralność danych.

Frappe ERPNext przed wersją 15.120.0 oraz 16.x przed 16.33.0 zawiera podatność braku autoryzacji, w której niektóre punkty końcowe nie egzekwują odpowiednich kontroli uprawnień. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą bezpośrednio wywoływać te punkty, aby odczytać dane finansowe wykraczające poza ich przypisaną rolę.

Frappe ERPNext przed wersją 16.34.2 zawiera podatność wstrzykiwania SQL spowodowaną brakiem walidacji danych wejściowych w wielu punktach końcowych. Uwierzytelnieni atakujący z niskimi uprawnieniami mogą wysyłać specjalnie spreparowane żądania do tych punktów, aby wstrzyknąć SQL i wyodrębnić wrażliwe informacje z bazy danych.

Frappe ERPNext przed wersją 15.121.3 oraz 16.x przed 16.35.0 zawiera podatność braku autoryzacji w niektórych punktach końcowych, które nie egzekwują kontroli autoryzacji opartej na rolach. Uwierzytelnieni użytkownicy mogą wywoływać te punkty, aby odczytać dane finansowe wykraczające poza uprawnienia przyznane ich roli.

Frappe ERPNext przed wersją 15.120.0 oraz 16.x przed 16.33.0 zawiera podatność braku autoryzacji w niektórych punktach końcowych, które nie egzekwują odpowiednich kontroli uprawnień. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą wywoływać te punkty, aby odczytać dane osobowe wykraczające poza ich przypisaną rolę.

Frappe ERPNext przed wersją 15.121.1 oraz 16.x przed 16.34.2 zawiera podatność braku autoryzacji w niektórych punktach końcowych, które nie egzekwują odpowiednich kontroli autoryzacji. Uwierzytelnieni atakujący mogą wysyłać żądania do tych punktów, aby modyfikować dokumenty i dane wykraczające poza ich przypisaną rolę.

Frappe ERPNext przed wersją 15.121.0 oraz 16.x przed 16.34.0 zawiera podatność braku autoryzacji, w której niektóre punkty końcowe nie egzekwują odpowiednich kontroli autoryzacji. Uwierzytelnieni użytkownicy mogą wysyłać żądania do dotkniętych punktów, aby modyfikować dane wykraczające poza ich dozwoloną rolę, naruszając integralność danych.

Frappe ERPNext przed wersją 15.120.0 oraz 16.x przed 16.23.0 zawiera obejście autoryzacji w punkcie końcowym, który honoruje dostarczony przez wywołującego flagę wyłączającą własne egzekwowanie uprawnień. Uwierzytelnieni atakujący mogą ustawić tę flagę podczas wywoływania punktu, aby pominąć kontrole uprawnień i odczytać rekordy stron wykraczające poza ich dozwoloną rolę.

Frappe ERPNext przed wersją 15.121.0 oraz 16.x przed 16.34.0 zawiera podatność typu missing authorization w niektórych punktach końcowych, które nie wymuszają właściwych kontroli autoryzacji podczas tworzenia dokumentów. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą wysyłać żądania do tych punktów końcowych, aby tworzyć dokumenty w kontekście rekordów poza swoją rolą, omijając ograniczenia oparte na rolach.

Frappe ERPNext przed wersją 15.121.3 oraz 16.x przed 16.35.0 zawiera podatność typu missing authorization, w której niektóre punkty końcowe nie wymuszają właściwych kontroli autoryzacji. Uwierzytelnieni użytkownicy mogą wysyłać żądania do tych punktów końcowych, aby modyfikować dane poza zakresem dozwolonym przez ich rolę.