CVE-2026-108373 Acceso no autorizado a datos financieros en ERPNext por falta de validación

Qué es CVE-2026-108373

En ERPNext anterior a 15.118.0 y 16.27.0, ciertos endpoints del informe Sales Person-wise Transaction Summary no aplican las verificaciones de autorización adecuadas. Un usuario autenticado con rol limitado puede consultar filas de transacciones financieras sin que se apliquen las condiciones de permiso de documentos del solicitante, leyendo datos financieros fuera de su rol permitido. Corrigen las versiones 15.118.0 y 16.27.0.

Productos y versiones afectadas

• frappe erpnext

  • < 15.118.0
  • >= 16.0.0, < 16.27.0

Qué hacer

1. Verificá si usás erpnext y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 6.5 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.118.0 and 16.27.0, certain endpoints in the Sales Person-wise Transaction Summary report fail to enforce proper authorization checks. When a role-limited authenticated user requests the affected financial report, the query can query financial transaction rows without applying the requesting user's document permission match conditions. This allows the user to read financial data beyond the user's permitted role. This issue is fixed in versions 15.118.0 and 16.27.0.

Referencias

• github.com/frappe/erpnext/security/advisories/GHSA-rgrq-243c-c4g6X_REFSOURCE_CONFIRM
• github.com/frappe/erpnext/commit/202f52271ca2f689c2836fc27ca30c9cd507958eX_REFSOURCE_MISC
• github.com/frappe/erpnext/commit/24f0989ac1f6d3054643d6377e8c126ee8ca0cf7X_REFSOURCE_MISC
• github.com/frappe/erpnext/releases/tag/v15.118.0X_REFSOURCE_MISC
• github.com/frappe/erpnext/releases/tag/v16.27.0X_REFSOURCE_MISC

Historial de la alerta

1. 16 OCT · 19:25VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.