CVE-2026-54524 in HRMS
Resumen
por VulDB • 2026-09-17
Frappe HR es una solución de gestión de recursos humanos (HRMS) de código abierto. Antes de la versión 16.7.0, un usuario autenticado con el rol "HR User" puede inyectar SQL a través de los filtros en el informe "Salary Payments Based on Payment Mode". En hrms/payroll/report/salary_payments_based_on_payment_mode/salary_payments_based_on_payment_mode.py, la función get_conditions construye cláusulas de filtro a partir de valores controlados por el usuario y get_data incorpora esas cláusulas en una consulta SQL con formato de cadena, lo que permite extraer datos arbitrarios de la base de datos. Este problema se soluciona en la versión 16.7.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.