PT-2026-110925 · Frappe · Erpnext

William Pierson

·

CVE-2026-109376

·

Publicado

2026-10-12

·

Atualizado

2026-10-12

CVSS v3.1

4.3

Média

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
ERPNext 15.55.0 through 16.50.0 contains an incorrect authorization vulnerability in the get timesheet html method that lets authenticated portal users view project Timesheets. The method only checks Project read access, ignoring hide timesheets and project membership, so attackers can retrieve timesheet names, status, time-log dates and last modifiers.

Correção

Incorrect Authorization

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2026-109376

Produtos afetados

Erpnext