PT-2026-117399 · Frappe · Frappe Crm
CVSS v3.1
5.4
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Frappe CRM versões anteriores a 1.81.2
Descrição
Usuários de Vendas autenticados podem acessar registros de Notificação de CRM pertencentes a outros usuários devido à ausência de ganchos de permissão. Isso permite que um invasor leia, marque como lida ou exclua notificações de outros usuários ao consultar os endpoints
frappe.client usando o filtro to user ou ao chamar a função mark as read() com o argumento de outro usuário.Recomendações
Atualize para a versão 1.81.2 ou posterior.
Exploit
Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Frappe Crm