PT-2026-110137 · Frappe · Frappe Crm
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
Frappe CRM versões 1.49.0 through 1.87.0
Description
Existe um problema onde usuários autenticados podem ler documentos vinculados sem as devidas verificações de permissão. Ao especificar um lead, negócio, comentário ou usuário ao qual não têm autorização de acesso, um invasor pode recuperar informações sensíveis através do endpoint
crm.api.doc.get linked docs of document. Essas informações podem incluir números de telefone de registros de chamadas, organizações de negócios e texto de notificações de menção.Recommendations
Atualize o Frappe CRM para uma versão posterior à 1.87.0.
Como mitigação temporária, restrinja o acesso ao endpoint
crm.api.doc.get linked docs of document.Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Frappe Crm