Uma falha de autorização existe na função `get open activities()` em `erpnext.crm.utils`. Este problema permite que qualquer usuário autenticado, incluindo usuários de portal ou sem funções atribuídas, acesse registros de ToDo e Eventos. Ao fornecer valores arbitrários para as variáveis `ref doctype` e `ref docname`, um invasor pode enumerar atividades e recuperar detalhes de eventos privados do calendário.