Frappe HRMSでテレメトリー設定が無視される脆弱性、修正版あり
Summary
Frappe HRMSの16.14.0以上16.20.1未満では、テレメトリーを無効にしていても、休暇の種類名や請求額、評価点が利用イベントとして送信されます。該当する版を運用している組織は、16.20.1に更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Frappe HRMSの16.14.0以上16.20.1未満では、テレメトリーを無効にしていても、休暇の種類名や請求額、評価点が利用イベントとして送信されます。該当する版を運用している組織は、16.20.1に更新してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| frappehrms |
≥ 16.14.0, < 16.20.1→ 16.20.1 |
16.20.1 |
Original description The description as published by the source.
Frappe HRMS 16.14.0 before 16.20.1 sends product usage events on certain HR transactions without checking the site's telemetry setting, and some events include more detail than needed. During normal use, with no user action, values such as leave type names, claimed amounts and appraisal scores are transmitted even when telemetry is disabled.
Source: CVE.org (CVE Program・cvelistV5) NVD