高 8.8

Frappe HRMSに認証済みユーザーが会社情報を閲覧できる脆弱性

CVE-2026-126317 SecPulse初出 18:36

概要

Frappe HRMSの16.0.0以降16.20.1未満に、権限チェックの欠如による脆弱性が見つかりました。ログイン済みの一般従業員を含むすべての利用者が、サイト上の全会社の名称と既定の通貨を一覧で取得できるおそれがあります。修正版の16.20.1で対応できるため、速やかに更新してください。

AI要約

SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版 → 修正版	修正版
frappe	frappehrms	16.0.0 以上 16.20.1 未満→ 16.20.1	16.20.1

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Frappe HRMS from 16.0.0 before 16.20.1 contains a missing authorization vulnerability that allows authenticated users to read company details outside their permissions due to a missing permission check. Any logged-in user, including Employee role users, can query the affected endpoint to list every company on the site along with its default currency.

出典: CVE.org (CVE Program・cvelistV5) NVD