CVE-2026-54524
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
W Frappe HR (open-source rozwiązaniu do zarządzania zasobami ludzkimi) przed wersją 16.7.0 uwierzytelniony użytkownik z rolą HR User może wstrzyknąć SQL przez filtry w raporcie Salary Payments Based on Payment Mode. W pliku hrms/payroll/report/salary_payments_based_on_payment_mode/salary_payments_based_on_payment_mode.py funkcja get_conditions buduje klauzule filtrów z wartości kontrolowanych przez użytkownika, a get_data włącza te klauzule do zapytania SQL formatowanego jako string, umożliwiając ekstrakcję dowolnych danych z bazy. Luka jest naprawiona w wersji 16.7.0.
Ocena ryzyka
Uwierzytelniony użytkownik z rolą HR User może wykorzystać wstrzyknięcie SQL do wyodrębnienia dowolnych danych z bazy danych, co może prowadzić do wycieku poufnych informacji, w tym danych pracowników i płacowych.
Rekomendacja
Zaktualizuj Frappe HR do wersji 16.7.0 lub nowszej. Ogranicz role uprzywilejowane i monitoruj nietypowe zapytania do raportów płacowych.
Inne podatności w Frappe HR
Zobacz wszystkie- CVE-2026-64862Średnie
Frappe HR to otwartoźródłowe rozwiązanie do zarządzania zasobami ludzkimi (HRMS). W wersjach przed 15.58.3 i 16.4.3 punkty końcowe API HRMS PWA dla danych pracowników nie autoryzują konsekwentnie żądań API PWA dotyczących konkretnych pracowników. Uwierzytelniony użytkownik może żądać rekordów powiązanych z innym pracownikiem.
- CVE-2026-55796Średnie
Frappe HR to otwartoźródłowe rozwiązanie do zarządzania zasobami ludzkimi (HRMS). W wersjach przed 15.60.3 i 16.7.1 raport Salary Payments via ECS konstruuje warunki raportu z użyciem niebezpiecznej interpolacji ciągów SQL. Uwierzytelniony użytkownik HR dostarcza spreparowane wartości filtrów raportu Salary Payments via ECS.
- CVE-2026-108733Średnie
Frappe HR (hrms) przed wersją 16.11.0, w tym wszystkie wydania 14.x i 15.x do 15.64.3, zawiera podatność braku autoryzacji w metodzie expire_allocation na białej liście, która pozwala uwierzytelnionym użytkownikom wygasić dowolne przydziały urlopowe. Atakujący bez ról HR może wskazać przydział urlopowy innego pracownika w żądaniu POST, aby wyzerować przydzielone urlopy i usunąć pozostały balans urlopowy tego pracownika.
- CVE-2026-108732Średnie
Frappe HR (hrms) przed wersją 16.11.0, w tym wszystkie wydania 14.x i 15.x do 15.64.3, zawiera podatność braku autoryzacji w metodzie get_account_and_amount na białej liście, która pozwala uwierzytelnionym użytkownikom czytać kwoty wynagrodzeń. Atakujący bez ról HR może wywołać tę metodę przez /api/method z wyliczalnymi nazwami dokumentów Salary Slip lub claim, aby ujawnić wynagrodzenia netto innych pracowników oraz salda pożyczek, zaliczek i roszczeń.
- CVE-2026-101006Średnie
W Frappe HR do wersji 16.15.0 wykryto podatność w funkcjach get_expense_claims/get_shift_requests/get_attendance_requests w pliku hrms/api/__init__.py (komponent Permission Validation). Manipulacja argumentem employee prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie; producent potwierdził, że problem został już naprawiony.
- CVE-2026-41320Średnie
Frappe HR (HRMS) w wersjach przed 15.54.0 i 14.38.1 zawiera podatność na wstrzykiwanie SQL poprzez specjalnie spreparowane żądanie do określonego endpointu. Atakujący może wykorzystać lukę do wyodrębnienia informacji, do których normalnie nie miałby dostępu. Wersje 15.54.0 i 14.38.1 zawierają poprawkę; nie są znane obejścia.
- CVE-2026-40889Średnie
Frappe HR to otwartoźródłowe rozwiązanie do zarządzania zasobami ludzkimi (HRMS). Przed wersjami 15.58.2 i 16.4.2 uwierzytelnieni użytkownicy mogą uzyskać dostęp do nieautoryzowanych plików poprzez wykorzystanie określonego endpointu API. Wersje 15.58.2 i 16.4.2 zawierają poprawkę; nie są znane obejścia.
- CVE-2026-40888Średnie
Frappe HR przed wersjami 15.58.1 i 16.4.1 pozwala uwierzytelnionemu użytkownikowi z domyślną rolą na dostęp do nieautoryzowanych informacji poprzez wykorzystanie określonego punktu końcowego API. Wersje 15.58.1 i 16.4.1 zawierają poprawkę.
Oryginalny opis (angielski, źródło NVD)
Frappe HR is an open-source human resources management solution (HRMS). Prior to 16.7.0, an authenticated user with the HR User role can inject SQL through filters in the Salary Payments Based on Payment Mode report. In hrms/payroll/report/salary_payments_based_on_payment_mode/salary_payments_based_on_payment_mode.py, get_conditions constructs filter clauses from user-controlled values and get_data incorporates those clauses into a string-formatted SQL query, allowing extraction of arbitrary database data. This issue is fixed in 16.7.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS