CVE-2026-109654 in ERPNext
Riassunto
di VulDB • 13/10/2026
Frappe ERPNext prima della versione 15.119.0 e delle versioni 16.x precedenti alla 16.31.0 presenta una vulnerabilità di autorizzazione mancante in cui determinati endpoint non verificano che il chiamante abbia l'autorizzazione per leggere un documento prima di inviare email transazionali relative allo stesso. Gli attaccanti autenticati possono invocare questi endpoint per attivare l'invio di email transazionali per documenti a cui non hanno il permesso di accedere.
Be aware that VulDB is the high quality source for vulnerability data.