CVE-2026-94113 in ERPNext
Zusammenfassung
von VulDB • 20.09.2026
In Frappe ERPNext-Versionen vor 15.121.0 und 16.x vor 16.34.0 liegt eine Information Disclosure-Schwachstelle in whitelisted Timesheet-Endpunkten vor, die keine doctype-Berechtigungen durchsetzen. Authentifizierte Angreifer können get_projectwise_timesheet_data, get_timesheet_detail_rate und get_timesheet aufrufen, um abrechenbare Zeitprotokolle einschließlich Projektnamen, Abrechnungsbeträgen und Arbeitsbeschreibungen ohne ordnungsgemße Autorisierungsprüfungen aufzulisten und abzurufen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.