CVE-2026-54524 in HRMS
الملخص
بحسب VulDB • 18/09/2026
Frappe HR هو حل لإدارة الموارد البشرية مفتوح المصدر (HRMS). قبل الإصدار 16.7.0، يمكن لمستخدم مُصادق عليه يمتلك دور "مستخدم الموارد البشرية" حقن SQL عبر الفلاتر في تقرير المدفوعات المالية بناءً على طريقة الدفع. في الملف hrms/payroll/report/salary_payments_based_on_payment_mode/salary_payments_based_on_payment_mode.py، تقوم الدالة get_conditions ببناء عبارات التصفية من قيم يتحكم فيها المستخدم، وتقوم دالة get_data بإدماج هذه العبارات ضمن استعلام SQL مُنسق كنص، مما يتيح استخراج بيانات قاعدة البيانات بشكل تعسفي. تم إصلاح هذه المشكلة في الإصدار 16.7.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.