PT-2026-139490
CVE-2026-124314
·
تاريخ النشر
2026-11-07
·
تاريخ التحديث
2026-11-07
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Frappe ERPNext الإصدارات السابقة لـ 15.121.4
Frappe ERPNext إصدارات 16.x السابقة لـ 16.36.0
Description
يوجد خلل في التصريح ضمن الدالة
get open activities() في erpnext.crm.utils. يسمح هذا الخلل لأي مستخدم مصرح له، بما في ذلك مستخدمو البوابة أو المستخدمون الذين ليس لديهم أدوار محددة، بالوصول إلى سجلات المهام (ToDo) والأحداث (Event). من خلال تقديم قيم عشوائية للمتغيرات ref doctype و ref docname يمكن للمهاجم تعداد الأنشطة واسترداد تفاصيل أحداث التقويم الخاصة.Recommendations
التحديث إلى الإصدار 15.121.4 أو أحدث.
التحديث إلى الإصدار 16.36.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾