CVE-2026-107841 in pacioli
Zusammenfassung
von VulDB • 09.10.2026
pacioli bietet Least-Privilege-Governance und einen verwalteten Agent-Broker für ERPNext. Von Version 0.9.6 bis zur Version 0.10.0 ermöglicht das pacioli-guard document-layer consent gate (Einwilligungs-Schranke auf Dokumentenebene) verschachtelte Stornierungsvorgänge, die jede Einwilligung nutzen können, die durch einen umschließenden verwalteten Vorgang festgelegt wurde, ohne zu prüfen, ob der Marker eine Stornierung autorisiert. Eine Anmeldeinformation mit dem API Key Scope.require_consent kann ein vom Aufrufer kontrolliertes Sales Invoice (Verkaufsfaktura) oder ein anderes unterstütztes Dokument unter einem gültigen, von einer menschlichen Entität erstellten Submit-Marker (Übermittlungsmarker) übermitteln und Document.cancel() für ein anderes vorbestehendes, bereits eingereichtes Dokument aufrufen. Dadurch werden die an das Dokument und den Vorgang gebundene Natur des Markers, der einmalige Verbrauch („single-use spend“) sowie die Deny-Audit-Funktion umgangen. Die unbefugte Stornierung kann die Buchungsfolgeauswirkung (Ledger-Effekt) des Ziel Dokuments rückgängig machen; Prinzipalen ohne eine einwilligungsgeprüfte Berechtigung sind nicht betroffen. Dieses Problem wurde in Version 0.10.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.