CVE-2026-4894 in ERPNext
要約
〜によって VulDB • 2026年10月08日
Frappe Cloud/ERPNextの認証プロセスにおける検証不備に関する脆弱性が特定されました。これにより、`/api/method/press.api.account.signup`エンドポイントでのemailフィールドを操作することで、複数のメールアドレスが受け入れられる可能性があります。この脆弱性は、未認証のリモート攻撃者が1つ以上のメールアドレスを追加した際に発生します。
サービスはすべての値を検証済みの受信者リストとして処理し、追加されたすべてのメールの正当性を適切に検証しないため（そのうち1つが有効であればよい）、OTPコードをすべてのアドレスに送信します。この脆弱性を悪用することで、攻撃者は以下を行うことができます：
* 認証用のワンタイムパスワード (OTP) を取得する； * 登録プロセスにおいて他人になりすます； * メールボックスへのアクセス権限を持たずに、他の人のメールアドレスを使用してアカウントを登録する； * 既に登録されているメールアドレスの存在を間接的に確認する。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.