CVE-2026-54524 in HRMS
Riassunto
di VulDB • 18/09/2026
Frappe HR è una soluzione open-source per la gestione delle risorse umane (HRMS). Prima della versione 16.7.0, un utente autenticato con il ruolo HR User può eseguire SQL Injection tramite i filtri nel report "Salary Payments Based on Payment Mode". Nel file hrms/payroll/report/salary_payments_based_on_payment_mode/salary_payments_based_on_payment_mode.py, la funzione get_conditions costruisce clausole di filtro a partire da valori controllati dall'utente e get_data incorpora tali clausole in una query SQL formattata come stringa, consentendo l'estrazione di dati arbitrari dal database. Questo problema è stato risolto nella versione 16.7.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.