Frappe HRMSで認証済みユーザーが他社の従業員の記録を作成できる脆弱性
Summary
Frappe HRMSには、一括で記録を作成する機能で従業員ごとのアクセス権を確認しない脆弱性があります。作成権限を持つHR Userなどの利用者が、担当外の従業員や他社の従業員の記録を作成できます。影響を受けるのは16.0.0から16.20.1未満のバージョンで、16.20.1で修正されています。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Frappe HRMSには、一括で記録を作成する機能で従業員ごとのアクセス権を確認しない脆弱性があります。作成権限を持つHR Userなどの利用者が、担当外の従業員や他社の従業員の記録を作成できます。影響を受けるのは16.0.0から16.20.1未満のバージョンで、16.20.1で修正されています。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| frappehrms |
≥ 16.0.0, < 16.20.1→ 16.20.1 |
16.20.1 |
Original description The description as published by the source.
Frappe HRMS 15.0.0 before 15.64.6 and 16.0.0 before 16.20.1 does not check access to each employee on endpoints that create records in bulk for a list of employees. An authenticated user with create permission on the affected record type, such as HR User, can create records for employees outside their user-permission scope, including other companies' employees.
Source: CVE.org (CVE Program・cvelistV5) NVD