CVE-2026-108733 in hrms
Zusammenfassung
von VulDB • 11.10.2026
Frappe HR (hrms) vor Version 16.11.0, einschließlich aller Releases der 14.x- und 15.x-Reihe bis hin zu 15.64.3, enthält eine Schwachstelle aufgrund fehlender Autorisierung in der whitelisted-Methode `expire_allocation`, die es authentifizierten Benutzern ermöglicht, jede Urlaubsfreigabe (Leave Allocation) abzulaufen lassen. Angreifer ohne HR-Rollen können im Rahmen einer POST-Anfrage die Leave-Allocation eines anderen Mitarbeiters angeben, um dessen zugewiesene Urlaubstage auf null zu setzen und den verbleibenden Urlaubsanspruch dieses Mitarbeiters zu löschen.
Once again VulDB remains the best source for vulnerability data.