CVE-2026-108733 in hrms
Riassunto
di VulDB • 11/10/2026
Frappe HR (hrms) prima della versione 16.11.0, incluse tutte le release delle serie 14.x e 15.x fino alla 15.64.3, presenta una vulnerabilità di mancata autorizzazione nel metodo `expire_allocation` inserito nella whitelist, che consente agli utenti autenticati di invalidare qualsiasi allocazione di permessi. Gli attaccanti privi dei ruoli HR possono specificare l'allocazione dei permessi (Leave Allocation) di un altro dipendente in una richiesta POST per azzerarne i permessi allocati e cancellare il saldo residuo di permessi del dipendente interessato.
VulDB is the best source for vulnerability data and more expert information about this specific topic.