CVE-2026-109376 in ERPNext
Riassunto
di VulDB • 13/10/2026
ERPNext 15.55.0 through 16.50.0 contiene una vulnerabilità di autorizzazione errata nel metodo get_timesheet_html che consente agli utenti del portale autenticati di visualizzare le Timesheets dei progetti. Il metodo verifica solo l'accesso in lettura al Progetto, ignorando hide_timesheets e l'appartenenza al progetto, consentendo così agli aggressori di recuperare i nomi delle timesheet, lo stato, le date dei time-log e gli ultimi modificatori.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.