Shohruh Yoldoshov

Uma falha de autorização existe no método whitelisted `get linked payments for doc()`. Usuários autenticados, incluindo aqueles com acesso ao portal, podem fornecer valores arbitrários para as variáveis `company`, `doctype` e `docname` para acessar dados de alocação de Entrada do Livro Razão de Pagamentos pertencentes a faturas e vouchers de outras empresas.

Uma falha de autorização existe na função `get open activities()` em `erpnext.crm.utils`. Este problema permite que qualquer usuário autenticado, incluindo usuários de portal ou sem funções atribuídas, acesse registros de ToDo e Eventos. Ao fornecer valores arbitrários para as variáveis `ref doctype` e `ref docname`, um invasor pode enumerar atividades e recuperar detalhes de eventos privados do calendário.

A falta de autorização nos métodos whitelisted `get bom items()` e `get bom diff()` permite que usuários autenticados, incluindo usuários de portal ou sem função, ignorem as verificações de permissão de leitura de BOM. Ao chamar `get bom items()` com um nome de BOM, um invasor pode recuperar dados sensíveis, incluindo matérias-primas, quantidades, taxas e custos.

Uma falha de autorização existe no método whitelisted `erpnext.buying.utils.get linked material requests()`. A função não realiza as verificações de permissão de documento ou empresa necessárias. Consequentemente, usuários autenticados, como usuários do portal ou aqueles sem funções atribuídas, podem fornecer códigos de itens para recuperar Solicitações de Material do tipo Compra pertencentes a outras empresas.

Um problema de divulgação de informações existe em endpoints de folha de ponto (timesheet) liberados que falham ao aplicar permissões de doctype. Atacantes autenticados podem chamar os endpoints `get projectwise timesheet data`, `get timesheet detail rate` e `get timesheet` para enumerar e recuperar registros de tempo faturáveis, incluindo nomes de projetos, valores de faturamento e descrições de trabalho, sem as devidas verificações de autorização.

Uma falha de autorização existe no endpoint 'GET /api/nodes', que permite que atacantes não autenticados recuperem todos os nós de navegação. Isso pode levar à divulgação de nomes de páginas restritas, caminhos de URL e URLs internas de todos os sites e idiomas.