CVE-2026-124313 Falta de autorización en ERPNext mediante get_linked_payments_for_doc
Frappe ERPNext antes de 15.121.4 y 16.x antes de 16.36.0 contiene una falta de autorización en el método whitelisted get_linked_payments_for_doc. Cualquier usuario autenticado, incluidos usuarios de portal, puede enviar valores arbitrarios de company, doctype y docname para leer datos de asignación de Payment Ledger Entry de facturas y comprobantes de otras empresas.
CVSS 3.1
- CVSS 4.05.3 · media
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 12
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
frappe erpnext
hasta antes de 15.121.4desde 16.0.0-beta.1 hasta antes de 16.36.0
Qué hacer
- Verificá si usás erpnext y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 4.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
CVSS 4.0 · 5.3 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Baja
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Frappe ERPNext before 15.121.4 and 16.x before 16.36.0 contains a missing authorization vulnerability in the whitelisted get_linked_payments_for_doc method. Any authenticated user, including portal users, can supply arbitrary company, doctype, and docname values to read Payment Ledger Entry allocation data for other companies' invoices and vouchers.
Referencias (6)
- github.com/frappe/erpnext/security/advisories/GHSA-hf2q-xhq6-q394
- github.com/frappe/erpnext/commit/48635ee6b56a08dc5663d283d8e29c4e30190ad3
- github.com/frappe/erpnext/commit/aea326869b4f7ba96629eaec7e5d2eff3957c364
- github.com/frappe/erpnext/blob/12cd563fb9a79731f75ae2a45b1446a0a2dd9e74/erpnext/accounts/…
- github.com/frappe/erpnext
- www.vulncheck.com/advisories/frappe-erpnext-before-15.121.4-and-16.36.0-missing-authoriza…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.