Frappe HRMSでテレメトリー設定が無視される脆弱性、修正版あり
Frappe HRMSの16.14.0以上16.20.1未満では、テレメトリーを無効にしていても、休暇の種類名や請求額、評価点が利用イベントとして送信されます。該当する版を運用している組織は、16.20.1に更新してください。
急ぎ度: 計画的に
CVSS v3は9.8ですが、ベンダーは重要度をLowと評価しており、説明されている影響は情報の送信にとどまり、修正版も出ているため、通常の更新サイクルの中で計画的に適用すれば足ります。
関係があるか
Frappe HRMSを自社で運用している、またはホスティングで利用している組織が対象です。とくに、社内ルールでテレメトリーを無効にしているサイトは、設定が効かないため影響を受けます。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Frappe HRMS（hrms） | 16.14.0以上、16.20.1未満 | 16.20.1 |
確かめ方
- 1bench環境で
bench versionを実行し、hrmsの版が16.14.0以上16.20.1未満かどうかを確認します。16.14.0より前の版は影響範囲に入っていません。 - 2ホスティング事業者に運用を任せている場合は、事業者に自社サイトのhrmsの版と、16.20.1への更新予定を問い合わせます。
- 3サイトのテレメトリー設定が無効になっているかを確認します。無効にしている場合は、設定を守る前提で運用してきたのに送信されていた可能性があります。
何が起きたか
Frappe HRMSの16.14.0以上16.20.1未満では、サイトでテレメトリーを無効にしていても、特定の人事処理のたびに製品の利用イベントが送信されます。イベントには、休暇の種類名、請求額、評価点などの値が含まれます。
原因は、一部の人事処理で記録される利用イベントが、送信の前にサイトのテレメトリー設定を確認していなかったことです。しかも一部のイベントは、利用状況の把握に必要な範囲を超えた詳細を持っていました。修正版では、すべてのイベントで設定を確認するようになり、イベントの内容も件数、フラグ、固定値に絞られています。
この問題は、CWE-359（権限のない相手への個人情報の露出）に分類されています。ベンダーは2026年10月26日にGitHubで勧告を公開しており、CVEの公表は2026年11月13日です。
攻撃の流れ
-
1
通常の人事処理
休暇や請求、評価に関する特定の処理が、いつもどおり行われます。
-
2
利用イベント記録
処理に合わせて、製品の利用イベントが作られます。
-
3
設定を確認せず
テレメトリーが無効でも、送信前の確認が行われません。
-
4
詳細つきで送信
休暇の種類名、請求額、評価点などの値が一緒に送られます。
どう悪用されるか
攻撃者が何かを仕掛ける必要はありません。利用者側の特別な操作も要らず、人事処理が通常どおり行われるだけで送信されます。CVSSのベクターも、ネットワーク経由、認証不要、利用者の操作不要と評価しています。
被害は、サイトの管理者が止めたつもりの経路から、人事情報の一部が送信されることです。データの書き換えやサービス停止にあたる影響は、説明されていません。
今すぐやること
-
1
hrmsの版を確認する
自社のサイトが16.14.0以上16.20.1未満に当たるかを、bench環境で確認します。ホスティング利用の場合は、事業者に版を問い合わせます。
bench version -
2
16.20.1に更新する
回避策が無いため、修正版への更新が唯一の対処です。通常の更新と同じく、バックアップを取り、検証環境で人事処理を一通り試してから本番に適用します。
-
3
社内の情報管理担当に共有する
テレメトリーを無効にしていた期間は、設定どおりに動いていませんでした。個人情報や人事情報の扱いに関する社内規程に照らして、報告や記録が必要かどうかを、情報管理や法務の担当と相談します。
-
4
送信先と保管の扱いをベンダーに確認する
送られたイベントの宛先や保管の扱いは、ベンダーの勧告ページで確認します。内容が足りない場合は、ベンダーに問い合わせます。
すぐ更新できないとき
回避策はありません。テレメトリーを無効にしていても送信されるため、設定では防げず、修正版への更新が必要です。
背景
Frappe HRMSは、Frappeの上で動く人事管理のアプリで、休暇の申請、経費などの請求、評価といった、従業員の個人情報に近い業務を受け持ちます。休暇の種類名ひとつでも、通院や介護、育児などの事情を推測させることがあります。請求額や評価点も、本人と人事部門だけが見る前提の値です。
テレメトリーは、製品の改善のために利用状況を送る仕組みで、多くの製品が設定で止められるようにしています。今回の問題は、その設定を確認せずに送る経路が一部の人事処理にあったという点で、利用者の選択が守られませんでした。修正版では、送るのは件数、フラグ、固定値だけに絞られており、業務の中身の値は送らない設計に改められています。
よくある質問
Q.更新後は、テレメトリーを無効にしておけば送信は止まりますか。
Q.CVSSが9.0以上なら即時対応、という社内基準があります。この脆弱性にも適用しますか。
まだ分かっていないこと
- イベントの送信先、保管期間、利用のされ方は公表されていません。
- 対象となる「特定の人事処理」の全範囲と、送信されうる値の全項目は、休暇の種類名、請求額、評価点を例に挙げるにとどまり、公表されていません。
- すでに送信されたデータを削除できるかどうかは、公表されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| frappehrms |
16.14.0 以上 16.20.1 未満→ 16.20.1 |
16.20.1 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Frappe HRMS 16.14.0 before 16.20.1 sends product usage events on certain HR transactions without checking the site's telemetry setting, and some events include more detail than needed. During normal use, with no user action, values such as leave type names, claimed amounts and appraisal scores are transmitted even when telemetry is disabled.
出典: CVE.org (CVE Program・cvelistV5) NVD