Frappe HRMSに認証済みユーザーが会社情報を閲覧できる脆弱性
Summary
Frappe HRMSの16.0.0以降16.20.1未満に、権限チェックの欠如による脆弱性が見つかりました。ログイン済みの一般従業員を含むすべての利用者が、サイト上の全会社の名称と既定の通貨を一覧で取得できるおそれがあります。修正版の16.20.1で対応できるため、速やかに更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Frappe HRMSの16.0.0以降16.20.1未満に、権限チェックの欠如による脆弱性が見つかりました。ログイン済みの一般従業員を含むすべての利用者が、サイト上の全会社の名称と既定の通貨を一覧で取得できるおそれがあります。修正版の16.20.1で対応できるため、速やかに更新してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| frappehrms |
≥ 16.0.0, < 16.20.1→ 16.20.1 |
16.20.1 |
Original description The description as published by the source.
Frappe HRMS from 16.0.0 before 16.20.1 contains a missing authorization vulnerability that allows authenticated users to read company details outside their permissions due to a missing permission check. Any logged-in user, including Employee role users, can query the affected endpoint to list every company on the site along with its default currency.
Source: CVE.org (CVE Program・cvelistV5) NVD