PT-2026-139492

CVE-2026-124316

Publicado

2026-11-07

Atualizado

2026-11-07

Descrição por

CVSS 4.0

5.3

Média

MétricasAV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Frappe ERPNext versões anteriores a 15.121.4 Frappe ERPNext versões 16.x anteriores a 16.36.0

Description Uma falha de autorização existe no método whitelisted erpnext.buying.utils.get linked material requests(). A função não realiza as verificações de permissão de documento ou empresa necessárias. Consequentemente, usuários autenticados, como usuários do portal ou aqueles sem funções atribuídas, podem fornecer códigos de itens para recuperar Solicitações de Material do tipo Compra pertencentes a outras empresas.

Recommendations Atualize para a versão 15.121.4 ou posterior. Atualize para a versão 16.36.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-862: Missing Authorization

Identificadores relacionados

CVE-2026-124316