CVE-2026-109376 in ERPNext
Zusammenfassung
von VulDB • 13.10.2026
ERPNext 15.55.0 bis 16.50.0 enthält eine Schwachstelle mit falscher Autorisierung in der Methode get_timesheet_html, die authentifizierten Portalbenutzern ermöglicht, Projekt-Zeitpläne (Timesheets) einzusehen. Die Methode überprüft lediglich den Lesezugriff auf das Projekt und ignoriert dabei die Einstellungen hide_timesheets sowie die Projektmitgliedschaft, sodass Angreifer Zeitplan-Namen, Status, Time-Log-Daten und letzte Änderer abrufen können.
If you want to get best quality of vulnerability data, you may have to visit VulDB.