Frappe HRMSで認証済みの従業員が他人の記録を更新できる脆弱性
Summary
Frappe HRMSには、所有者の確認が欠けた一部の記録更新用エンドポイントに認可の不備があり、Employeeの権限を持つ認証済みユーザーが他の従業員の記録を書き換えられるおそれがあります。影響を受けるのは16.0.0から16.20.0未満で、16.20.0で修正されています。該当する版を使っている場合は、16.20.0以上へ早めに更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Frappe HRMSには、所有者の確認が欠けた一部の記録更新用エンドポイントに認可の不備があり、Employeeの権限を持つ認証済みユーザーが他の従業員の記録を書き換えられるおそれがあります。影響を受けるのは16.0.0から16.20.0未満で、16.20.0で修正されています。該当する版を使っている場合は、16.20.0以上へ早めに更新してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| frappehrms |
≥ 16.0.0, < 16.20.0→ 16.20.0 |
16.20.0 |
Original description The description as published by the source.
Frappe HRMS 15.0.0 before 15.64.2 and 16.0.0 before 16.20.0 contains a missing authorization vulnerability in certain record update endpoints that lack an ownership check. Authenticated users with the Employee role can call these endpoints to modify records belonging to other employees, beyond their permitted role.
Source: CVE.org (CVE Program・cvelistV5) NVD