PT-2026-116156 · Frappe · Erpnext

CVE-2026-108373

·

Publicado

2026-10-16

·

Atualizado

2026-10-16

CVSS v3.1

6.5

Média

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Nome do Software Vulnerável e Versões Afetadas ERPNext versões anteriores a 15.118.0 ERPNext versões anteriores a 16.27.0
Description Certos endpoints no relatório Sales Person-wise Transaction Summary falham ao aplicar verificações de autorização adequadas. Isso permite que um usuário autenticado com funções limitadas solicite relatórios financeiros e consulte linhas de transação sem que o sistema aplique as condições de correspondência de permissão de documento exigidas, permitindo que o usuário leia dados financeiros além de sua função permitida.
Recommendations Atualizar para a versão 15.118.0. Atualizar para a versão 16.27.0.

Exploit

Correção

Missing Authorization

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-108373
GHSA-RGRQ-243C-C4G6

Produtos afetados

Erpnext