VULNERABILIDADDetectada 16 OCT · 19:25

CVE-2026-55796 Inyección SQL en el informe Salary Payments via ECS de Frappe HR

En Frappe HR anterior a 15.60.3 y 16.7.1, el informe Salary Payments via ECS construye condiciones con interpolación insegura de cadenas SQL. Un usuario de RR. HH. autenticado puede inyectar SQL a través de los valores de filtro del informe y acceder a registros sensibles de la base de datos. Corrigen las versiones 15.60.3 y 16.7.1.

6.5MEDIA

CVSS 3.1

Probabilidad de explotación0,3 %
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

frappe hrms
< 15.60.3>= 16.0.0, < 16.7.1

Qué hacer

Verificá si usás hrms y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 6.5 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosBajos
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadAlta
IntegridadNinguna
DisponibilidadNinguna

Descripción original

Frappe HR is an open-source human resources management solution (HRMS). Prior to 15.60.3 and 16.7.1, the Salary Payments via ECS report constructs report conditions with unsafe SQL string interpolation. An authenticated HR user supplies crafted Salary Payments via ECS report filter values. The affected Salary Payments via ECS report allows the user to inject SQL through report filter values. Successful exploitation can access sensitive database records. This issue is fixed in versions 15.60.3 and 16.7.1.

Referencias (5)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.