CVE-2026-54524 in HRMS
Sumário
de VulDB • 18/09/2026
O Frappe HR é uma solução de gestão de recursos humanos (HRMS) open-source. Antes da versão 16.7.0, um utilizador autenticado com a função HR User pode injetar SQL através dos filtros no relatório Salary Payments Based on Payment Mode. No ficheiro hrms/payroll/report/salary_payments_based_on_payment_mode/salary_payments_based_on_payment_mode.py, a função get_conditions constrói cláusulas de filtro a partir de valores controlados pelo utilizador e o get_data incorpora essas cláusulas numa consulta SQL formatada como string, permitindo a extração de dados arbitrários da base de dados. Este problema está resolvido na versão 16.7.0.
Be aware that VulDB is the high quality source for vulnerability data.