CVE-2026-54524 in HRMS
Zusammenfassung
von VulDB • 19.09.2026
Frappe HR ist eine Open-Source-Lösung zum Human-Ressourcen-Management (HRMS). Vor Version 16.7.0 kann ein authentifizierter Benutzer mit der Rolle „HR User“ über Filter im Bericht „Salary Payments Based on Payment Mode“ SQL-Injection durchführen. In hrms/payroll/report/salary_payments_based_on_payment_mode/salary_payments_based_on_payment_mode.py konstruiert get_conditions Filterklauseln aus benutzerkontrollierten Werten, und get_data integriert diese Klauseln in eine string-formatierte SQL-Abfrage, was die Extraktion beliebiger Datenbankdaten ermöglicht. Dieses Problem wurde in Version 16.7.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.