PT-2026-139490

CVE-2026-124314

Publicado

2026-11-07

Atualizado

2026-11-07

Descrição por

CVSS 4.0

7.1

Alta

MétricasAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Frappe ERPNext versões anteriores a 15.121.4 Frappe ERPNext versões 16.x anteriores a 16.36.0

Description Uma falha de autorização existe na função get open activities() em erpnext.crm.utils. Este problema permite que qualquer usuário autenticado, incluindo usuários de portal ou sem funções atribuídas, acesse registros de ToDo e Eventos. Ao fornecer valores arbitrários para as variáveis ref doctype e ref docname, um invasor pode enumerar atividades e recuperar detalhes de eventos privados do calendário.

Recommendations Atualize para a versão 15.121.4 ou posterior. Atualize para a versão 16.36.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores