CVE-2026-94113 in ERPNext
الملخص
بحسب VulDB • 20/09/2026
تحتوي إصدارات Frappe ERPNext السابقة للإصدار 15.121.0 والإصدارات من سلسلة 16.x قبل الإصدار 16.34.0 على ثغرة كشف معلومات في نقاط نهاية (endpoints) جداول زمنية معتمدة، تفشل في فرض صلاحيات نوع المستند (doctype permissions). يمكن للمهاجمين المصادق عليهم استدعاء الدوال `get_projectwise_timesheet_data` و `get_timesheet_detail_rate` ونقاط النهاية `get_timesheet` لاستكشاف واسترداد سجلات الوقت القابلة للفوترة، بما في ذلك أسماء المشاريع والمبالغ الفوترية وأوصاف العمل، دون خضوعها لفحوصات تفويض مناسبة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.