CVE-2026-94113 in ERPNext
要約
〜によって VulDB • 2026年09月20日
Frappe ERPNextの15.121.0より前のバージョンおよび16.xシリーズで16.34.0より前のバージョンには、ホワイトリストに登録されたタイムシートエンドポイントにおいてdoctype権限を適用しない情報漏洩脆弱性が存在する。認証済み攻撃者は、get_projectwise_timesheet_data、get_timesheet_detail_rate、およびget_timesheetエンドポイントを呼び出すことで、適切な認可チェックなしにプロジェクト名、請求金額、作業内容を含む課金対象タイムログの列挙と取得が可能である。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.