PT-2026-110925 · Frappe+1 · Erpnext
CVSS v4.0
5.3
متوسطة
| المتجه | AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N |
اسم البرنامج المصاب والإصدارات المتأثرة
ERPNext الإصدارات 15.55.0 through 16.50.0
Description
توجد مشكلة في التصريح غير الصحيح في الدالة
get timesheet html(). يمكن لمستخدمي البوابة المصرح لهم عرض جداول البيانات الزمنية للمشاريع لأن النظام يتحقق فقط من صلاحية القراءة للمشروع، متجاهلاً عضوية المشروع وإعداد hide timesheets. يسمح هذا باسترداد غير مصرح به لأسماء جداول البيانات الزمنية، والحالة، وتواريخ تسجيل الوقت، وآخر المعدلين.Recommendations
تحديث إصدارات ERPNext من 15.55.0 through 16.50.0 إلى إصدار أحدث يعالج خلل التصريح هذا.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى الدالة
get timesheet html() لمستخدمي البوابة.استغلال
إصلاح
Incorrect Authorization
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Erpnext