Autorisation incorrecte dans pacioli-guard (CVE-2026-107841)
Résumé
Vulnérabilité dans pacioli-guard (CVE-2026-107841). Les données peuvent être altérées par des attaquants. Exploitable via true. Atténuation : mise à jour vers 0.10.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Impact
pacioli-guard's document-layer consent gate requires a human-minted, single-use, document-bound and act-bound marker before a credential carrying API Key Scope.require_consent may submit or cancel a document. Because ERPNext performs further document writes as a consequence of a governed act, nested acts are allowed to "ride" the consent established by the enclosing act instead of needing a marker of their own.
The ride predicate returned true for every cancel, regardless of which act the enclosing marker authorised. Riding never reaches consent_verdict, which is where the marker-to-act binding is enforced. The result: any Document.cancel() performed inside an act that had established consent reached docstatus = 2 with no marker, no act-binding check, no single-use spend, and no denial audit row.
This is reachable with the exact grant an operator is documented to give the broker, and the cancelled document's identity is caller-controlled:
Sales Invoice.on_submit(sales_invoice.py:507) callsprocess_asset_depreciation()unconditionally, reachingdepreciate_asset_on_sale(:1508-1516).- That iterates the invoice's item rows and calls
frappe.get_doc("Asset", d.asset).Sales Invoice Item.assetis a plain writableLinkwith noread_onlyand nofetch_from, so the caller supplies it in the request body. The validation that would constrain it sits behindif d.is_fixed_asset:(:428-429), a server-set field. - The chain r…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-107841 a été découverte dans pacioli-guard.
Des attaquants peuvent cibler un point d'entrée spécifique comme true à distance pour détourner le produit.
Les données peuvent être altérées par des attaquants. Score CVSS : 5.7/10.
Action : mettez à jour pacioli-guard vers 0.10.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « pacioli-guard CVE-2026-107841 » sur le site de l'éditeur.
CVE-2026-107841 (pacioli-guard) — CWE-863 / CVSS v3 5.7
Vecteur d'attaque : distant (réseau)
Surface d'attaque : true / consent_verdict / depreciate_asset_on_sale / Link
Correctif : 0.10.0 — appliquer immédiatement
Contournement : On 0.9.6, remove require_consent from affected grants and rely on the credential-scoping floor alone, or scope governed credentials so they cannot submit documents whose controllers cancel other documents (for ERPNext slice-one, Sales Invoice wit
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une autorisation incorrecte (CWE-863) affecte pacioli-guard. Les attaquants atteignent le code vulnérable via true.
Consultez l'avis de l'éditeur pour les versions affectées de pacioli-guard. Surface d'attaque : true / consent_verdict / depreciate_asset_on_sale / Link.
Gravité : Moyenne (CVSS 5.7/10). Les données peuvent être altérées par des attaquants.
Mettre à jour vers 0.10.0.
Contournement : On 0.9.6, remove require_consent from affected grants and rely on the credential-scoping floor alone, or scope governed credentials so they cannot submit documents whose controllers cancel other documents (for ERPNext slice-one, Sales Invoice wit
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'pacioli-guard' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
pacioli-guardを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply temporary workaround mitigate
On 0.9.6, remove `require_consent` from affected grants and rely on the credential-scoping floor alone, or scope governed credentials so they cannot submit documents whose controllers cancel other documents (for ERPNext slice-one, `Sales Invoice` witパッチが適用されるまでの応急処置として、On 0.9.6, remove
require_consentfrom affected grants and rely on the credential-scoping floor alone, or scope governed credentials so they cannot submit documents whose controllers cancel other documents (for ERPNext slice-one,Sales Invoicewit を実施。回避策の副作用 (機能低下) を確認した上で。 -
3Apply patch patch
Upgrade pacioli-guard to 0.10.0ステージング環境で 0.10.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
4Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- package pypi.org
- web github.com
- web github.com
- web github.com