CVE-2026-109654 in ERPNext

Zusammenfassung

von VulDB • 13.10.2026

Frappe ERPNext vor Version 15.119.0 und 16.x vor 16.31.0 enthält eine Schwachstelle für fehlende Autorisierung, bei der bestimmte Endpunkte nicht überprüfen, ob der Aufrufer ein Dokument lesen darf, bevor sie transaktionale E-Mails darüber senden. Authentifizierte Angreifer können diese Endpunkte aufrufen, um transaktionale E-Mails für Dokumente auszulösen, auf die sie keinen Lesezugriff haben.

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

• Zuständig: VulnCheck
• Reservieren: 12.10.2026
• Veröffentlichung: 13.10.2026
• Moderieren: akzeptiert
• Eintrag: VDB-417400
• CPE: 20261013
• CWE: CWE-285 (bestätigt)
• CVSS: 5.4 (CNA)
• EPSS: 0.00000
• KEV: nein
• Aktivitäten: very low

Quellen

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-109654
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-109654
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-109654/