CVE-2026-111389

WysokieCVSS 7.7

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Frappe HRMS w wersjach 14.x przed 14.38.2, 15.x przed 15.64.0 i 16.x przed 16.18.0 zawiera podatność na wstrzyknięcie SQL w niektórych punktach końcowych z powodu braku walidacji danych wejściowych. Każdy uwierzytelniony atakujący, w tym konto o niskich uprawnieniach, może wysłać specjalnie spreparowane żądania, aby wyodrębnić poufne informacje z bazy danych.

Ocena ryzyka

Atakujący może uzyskać dostęp do poufnych danych przechowywanych w bazie danych, co może prowadzić do naruszenia poufności i dalszych ataków.

Rekomendacja

Zaktualizuj Frappe HRMS do wersji 14.38.2, 15.64.0 lub 16.18.0 (lub nowszej), aby naprawić podatność.

Inne podatności w Frappe HRMS

CVE-2026-121442Średnie
System Frappe HRMS w wersjach przed 15.61.0 zawiera podatność na obejście uprawnień, która pozwala uwierzytelnionym pracownikom na przeglądanie szczegółów zaliczek wydatkowych innych pracowników z powodu nieprawidłowych kontroli autoryzacji. Atakujący może odpytywać API Expense Claim Advances w celu pobrania rekordów zaliczek należących do innych pracowników, ujawniając poufne informacje finansowe.

Oryginalny opis (angielski, źródło NVD)

Frappe HRMS 14.x before 14.38.2, 15.x before 15.64.0, and 16.x before 16.18.0 contains a SQL injection vulnerability in some endpoints caused by missing input validation. Any authenticated attacker, including a low-privilege account, can send specially crafted requests to these endpoints to extract sensitive information from the database.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS