VULNERABILIDAD
CVE-2026-64862 Falta de autorización en endpoints PWA de Frappe HR permite acceso a datos de otros empleados
En Frappe HR anterior a 15.58.3 y 16.4.3, los endpoints PWA de datos de empleados no autorizan de forma consistente las solicitudes específicas de cada empleado. Un usuario autenticado puede solicitar registros asociados a otro empleado a través de estos endpoints y acceder a datos sensibles de RR. HH. de otros empleados. Corrigen las versiones 15.58.3 y 16.4.3.
Alerta de Nureq Monitor
Detectada 16 OCT · 19:25
CVSS 3.1
6.5MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,2 % PERCENTIL 14
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-64862
En Frappe HR anterior a 15.58.3 y 16.4.3, los endpoints PWA de datos de empleados no autorizan de forma consistente las solicitudes específicas de cada empleado. Un usuario autenticado puede solicitar registros asociados a otro empleado a través de estos endpoints y acceder a datos sensibles de RR. HH. de otros empleados. Corrigen las versiones 15.58.3 y 16.4.3.
Productos y versiones afectadas
frappe hrms
Qué hacer
- Verificá si usás hrms y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 6.5 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Alta
- INTEGRIDAD (I)
- Ninguna
- DISPONIBILIDAD (A)
- Ninguna
Abrir la calculadora completa →
Descripción original
Frappe HR is an open-source human resources management solution (HRMS). Prior to 15.58.3 and 16.4.3, HRMS PWA API endpoints for employee data do not consistently authorize employee-specific PWA API requests. An authenticated user requests records associated with another employee. The user can request records associated with another employee through PWA API endpoints. Successful exploitation can access sensitive HR data belonging to other employees. This issue is fixed in versions 15.58.3 and 16.4.3.
Referencias
- github.com/frappe/hrms/security/advisories/GHSA-wfc6-cw72-cvhxX_REFSOURCE_CONFIRM
- github.com/frappe/hrms/commit/6214ec8db13c587e05150bdf3e4e9e5d28b7fd94X_REFSOURCE_MISC
- github.com/frappe/hrms/commit/eefb8f4552d0e1e09ee4abae4fdc76fc5473e00aX_REFSOURCE_MISC
- github.com/frappe/hrms/releases/tag/v15.58.3X_REFSOURCE_MISC
- github.com/frappe/hrms/releases/tag/v16.4.3X_REFSOURCE_MISC
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.