Frappe HRMSで認証済みユーザーが他社の従業員の記録を作成できる脆弱性
概要
Frappe HRMSには、一括で記録を作成する機能で従業員ごとのアクセス権を確認しない脆弱性があります。作成権限を持つHR Userなどの利用者が、担当外の従業員や他社の従業員の記録を作成できます。影響を受けるのは16.0.0から16.20.1未満のバージョンで、16.20.1で修正されています。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Frappe HRMSには、一括で記録を作成する機能で従業員ごとのアクセス権を確認しない脆弱性があります。作成権限を持つHR Userなどの利用者が、担当外の従業員や他社の従業員の記録を作成できます。影響を受けるのは16.0.0から16.20.1未満のバージョンで、16.20.1で修正されています。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| frappehrms |
16.0.0 以上 16.20.1 未満→ 16.20.1 |
16.20.1 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Frappe HRMS 15.0.0 before 15.64.6 and 16.0.0 before 16.20.1 does not check access to each employee on endpoints that create records in bulk for a list of employees. An authenticated user with create permission on the affected record type, such as HR User, can create records for employees outside their user-permission scope, including other companies' employees.
出典: CVE.org (CVE Program・cvelistV5) NVD