جزئیات آسیب‌پذیری
CVE-2026-108374
frappe erpnext
ERPNext: Unauthorised status modification due to missing validation
CVSS 3.1
7.7بالا
شرح رسمی (انگلیسی)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.121.0 and 16.34.0, certain endpoints for status modification fail to enforce proper authorization checks. A low-privileged authenticated user can invoke state-changing whitelisted methods without required write, submit, cancel, document, or role checks. This allows the user to modify data beyond the user's permitted role. This issue is fixed in versions 15.121.0 and 16.34.0.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.7بالا | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| frappe | erpnext | < 15.121.0 | CVEProject cvelistV5 (CNA) |
| frappe | erpnext | >= 16.0.0, < 16.34.0 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۶- https://github.com/frappe/erpnext/security/advisories/GHSA-5wpj-6rvp-9ff7 x_refsource_CONFIRM
- https://github.com/frappe/erpnext/commit/547d82da563380a0644919173e00d0205f986d89 x_refsource_MISC
- https://github.com/frappe/erpnext/commit/86e94803629ea5668c2fc2d18afb5ca59fe2cf03 x_refsource_MISC
- https://github.com/frappe/erpnext/commit/a20fc4f9317ecc7d262625aea680c9a0cda98cef x_refsource_MISC
- https://github.com/frappe/erpnext/releases/tag/v15.121.0 x_refsource_MISC
- https://github.com/frappe/erpnext/releases/tag/v16.34.0 x_refsource_MISC
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۷/۲۵
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۷/۲۷
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۲۴٪
احتمال بهره‌برداری در ۳۰ روز
۱۵٫۲٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-862Missing Authorization