CVE-2026-108732 in HRMS
Zusammenfassung
von VulDB • 11.10.2026
Frappe HR (hrms) vor Version 16.11.0, einschließlich aller Releases der 14.x- und 15.x-Reihe bis hin zu 15.64.3, enthält eine Schwachstelle aufgrund fehlender Autorisierung in der whitelisted-Methode `get_account_and_amount`, die es authentifizierten Benutzern ermöglicht, Gehaltsbeträge auszulesen. Angreifer ohne HR-Rollen können die Methode über `/api/method` aufrufen und dabei enumerierbare Namen von Salary Slip- oder Claim-Dokumenten nutzen, um das Nettoentgelt sowie Darlehens-, Vorauszahlungs- und Anspruchs-Saldos anderer Mitarbeiter offenzulegen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.