PT-2026-117399 · Frappe · Frappe Crm
CVSS v3.1
5.4
متوسطة
| المتجه | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N |
اسم البرنامج المصاب والإصدارات المتأثرة
Frappe CRM الإصدارات السابقة لـ 1.81.2
الوصف
يمكن لمستخدمي المبيعات المصرح لهم الوصول إلى سجلات إشعارات CRM الخاصة بمستخدمين آخرين بسبب غياب خطافات الأذونات. يسمح هذا للمهاجم بقراءة إشعارات المستخدمين الآخرين أو تعليمها كمقروءة أو حذفها من خلال الاستعلام عن نقاط نهاية
frappe.client باستخدام تصفية to user أو استدعاء الدالة mark as read() مع وسيط مستخدم آخر.التوصيات
التحديث إلى الإصدار 1.81.2 أو إصدار أحدث.
استغلال
إصلاح
Missing Authorization
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Frappe Crm