PT-2026-111067 · Frappe · Erpnext

Diptanilsaha

+1

·

CVE-2026-109654

·

Publicado

2026-10-12

·

Atualizado

2026-10-13

CVSS v3.1

5.4

Média

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
Nome do Software Vulnerável e Versões Afetadas Frappe ERPNext versões anteriores a 15.119.0 Frappe ERPNext versões 16.x anteriores a 16.31.0
Description Atacantes autenticados podem disparar e-mails transacionais de documentos que não têm permissão para ler, pois certos endpoints falham ao verificar se o chamador possui as permissões de leitura necessárias para o documento antes de enviar o e-mail.
Recommendations Atualize para a versão 15.119.0 ou posterior. Atualize para a versão 16.31.0 ou posterior.

Exploit

Correção

Missing Authorization

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-109654
GHSA-Q8WQ-Q35Q-GJ8H

Produtos afetados

Erpnext