CVE-2026-108732 in HRMS
Riassunto
di VulDB • 11/10/2026
Frappe HR (hrms) prima della versione 16.11.0, incluse tutte le release delle serie 14.x e 15.x fino alla 15.64.3, presenta una vulnerabilità di mancata autorizzazione nel metodo `get_account_and_amount`, incluso nella whitelist, che consente agli utenti autenticati di leggere gli importi della busta paga. Gli attaccanti privi dei ruoli HR possono invocare il metodo tramite `/api/method` utilizzando nomi enumerabili degli documenti Salary Slip o claim per divulgare lo stipendio netto e i saldi di prestiti, anticipazioni e claim di altri dipendenti.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.