CVE-2026-40889

Frappe HR to otwartoźródłowe rozwiązanie do zarządzania zasobami ludzkimi (HRMS). W wersjach przed 15.58.3 i 16.4.3 punkty końcowe API HRMS PWA dla danych pracowników nie autoryzują konsekwentnie żądań API PWA dotyczących konkretnych pracowników. Uwierzytelniony użytkownik może żądać rekordów powiązanych z innym pracownikiem.

Frappe HR to otwartoźródłowe rozwiązanie do zarządzania zasobami ludzkimi (HRMS). W wersjach przed 15.60.3 i 16.7.1 raport Salary Payments via ECS konstruuje warunki raportu z użyciem niebezpiecznej interpolacji ciągów SQL. Uwierzytelniony użytkownik HR dostarcza spreparowane wartości filtrów raportu Salary Payments via ECS.

Frappe HR (hrms) przed wersją 16.11.0, w tym wszystkie wydania 14.x i 15.x do 15.64.3, zawiera podatność braku autoryzacji w metodzie expire_allocation na białej liście, która pozwala uwierzytelnionym użytkownikom wygasić dowolne przydziały urlopowe. Atakujący bez ról HR może wskazać przydział urlopowy innego pracownika w żądaniu POST, aby wyzerować przydzielone urlopy i usunąć pozostały balans urlopowy tego pracownika.

Frappe HR (hrms) przed wersją 16.11.0, w tym wszystkie wydania 14.x i 15.x do 15.64.3, zawiera podatność braku autoryzacji w metodzie get_account_and_amount na białej liście, która pozwala uwierzytelnionym użytkownikom czytać kwoty wynagrodzeń. Atakujący bez ról HR może wywołać tę metodę przez /api/method z wyliczalnymi nazwami dokumentów Salary Slip lub claim, aby ujawnić wynagrodzenia netto innych pracowników oraz salda pożyczek, zaliczek i roszczeń.

W Frappe HR do wersji 16.15.0 wykryto podatność w funkcjach get_expense_claims/get_shift_requests/get_attendance_requests w pliku hrms/api/__init__.py (komponent Permission Validation). Manipulacja argumentem employee prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie; producent potwierdził, że problem został już naprawiony.

W Frappe HR (open-source rozwiązaniu do zarządzania zasobami ludzkimi) przed wersją 16.7.0 uwierzytelniony użytkownik z rolą HR User może wstrzyknąć SQL przez filtry w raporcie Salary Payments Based on Payment Mode. W pliku hrms/payroll/report/salary_payments_based_on_payment_mode/salary_payments_based_on_payment_mode.py funkcja get_conditions buduje klauzule filtrów z wartości kontrolowanych przez użytkownika, a get_data włącza te klauzule do zapytania SQL formatowanego jako string, umożliwiając ekstrakcję dowolnych danych z bazy. Luka jest naprawiona w wersji 16.7.0.

Frappe HR (HRMS) w wersjach przed 15.54.0 i 14.38.1 zawiera podatność na wstrzykiwanie SQL poprzez specjalnie spreparowane żądanie do określonego endpointu. Atakujący może wykorzystać lukę do wyodrębnienia informacji, do których normalnie nie miałby dostępu. Wersje 15.54.0 i 14.38.1 zawierają poprawkę; nie są znane obejścia.

Frappe HR przed wersjami 15.58.1 i 16.4.1 pozwala uwierzytelnionemu użytkownikowi z domyślną rolą na dostęp do nieautoryzowanych informacji poprzez wykorzystanie określonego punktu końcowego API. Wersje 15.58.1 i 16.4.1 zawierają poprawkę.