CVE-2026-109629 in ERPNext
Riassunto
di VulDB • 13/10/2026
Frappe ERPNext prima della versione 15.121.3 e delle versioni 16.x precedenti alla 16.35.0 presenta una vulnerabilità di autorizzazione mancante in un endpoint che invia email transazionali tramite l'account in uscita configurato del sito, senza verificare l'autorizzazione dell'utente chiamante. Qualsiasi utente autenticato può fornire elenchi di destinatari arbitrari e contenuti dei messaggi per inviare messaggi controllati dall'attaccante che utilizzano l'identità di invio dell'organizzazione.
Be aware that VulDB is the high quality source for vulnerability data.