Shohruh Yoldoshov

يوجد خلل في التصريح في الدالة المعتمدة `get linked payments for doc()`. يمكن لأي مستخدم مصرح له، بما في ذلك مستخدمو البوابة، تقديم قيم عشوائية للمتغيرات `company` و `doctype` و `docname` لقراءة بيانات تخصيص قيود دفتر أستاذ المدفوعات الخاصة بفواتير وسندات شركات أخرى.

يوجد خلل في التصريح ضمن الدالة `get open activities()` في `erpnext.crm.utils`. يسمح هذا الخلل لأي مستخدم مصرح له، بما في ذلك مستخدمو البوابة أو المستخدمون الذين ليس لديهم أدوار محددة، بالوصول إلى سجلات المهام (ToDo) والأحداث (Event). من خلال تقديم قيم عشوائية للمتغيرات `ref doctype` و `ref docname` يمكن للمهاجم تعداد الأنشطة واسترداد تفاصيل أحداث التقويم الخاصة.

يؤدي فقدان التفويض في الدوال المدرجة في القائمة البيضاء `get bom items()` و `get bom diff()` إلى السماح للمستخدمين المصرح لهم، بما في ذلك مستخدمو البوابة أو المستخدمون بدون أدوار، بتجاوز فحوصات إذن قراءة قائمة المواد (BOM). من خلال استدعاء `get bom items()` مع اسم BOM محدد، يمكن للمهاجم استرداد بيانات حساسة تشمل المواد الخام والكميات والأسعار والتكاليف.

يوجد خلل في التصريح في الدالة المعتمدة `erpnext.buying.utils.get linked material requests()`. تفتقر الدالة إلى فحوصات أذونات المستند أو الشركة الضرورية. وبناءً على ذلك، يمكن للمستخدمين المصرح لهم، بما في ذلك مستخدمو البوابة أو المستخدمون الذين ليس لديهم أدوار، تقديم أكواد الأصناف لاسترداد طلبات المواد من نوع الشراء التابعة لشركات أخرى.

An information disclosure issue exists in whitelisted timesheet endpoints that fail to enforce doctype permissions. Authenticated attackers can call the `get projectwise timesheet data`, `get timesheet detail rate`, and `get timesheet` endpoints to enumerate and retrieve billable time logs, including project names, billing amounts, and work descriptions, without proper authorization checks.

An authorization failure exists in the 'GET /api/nodes' endpoint, which allows unauthenticated attackers to retrieve all navigation nodes. This can lead to the disclosure of restricted page names, URL paths, and internal URLs across all sites and languages.