CVE-2026-109376 in ERPNext
요약
\~에 의해 VulDB • 2026. 10. 13.
ERPNext 15.55.0부터 16.50.0까지에는 get_timesheet_html 메서드에서 잘못된 권한 부여 취약점이 포함되어 있어 인증된 포털 사용자가 프로젝트의 타임시트를 열람할 수 있습니다. 이 메서드는 Project 읽기 접근 여부만 확인하고 hide_timesheets 설정 및 프로젝트 멤버십은 무시하므로, 공격자는 타임시트 이름, 상태, 시간 로그 날짜 및 마지막 수정자를 검색해 낼 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.