Katalog podatności CVE

W Frappe ERPNext przed wersją 15.112.0 oraz w gałęzi 16.x przed 16.23.0 występuje luka braku autoryzacji. Niektóre endpointy nie egzekwują prawidłowych kontroli uprawnień. Uwierzytelnieni użytkownicy o niskich uprawnieniach mogą wysyłać żądania do tych endpointów, aby odczytać dane osobowe wykraczające poza zakres ich roli.

W Frappe ERPNext przed wersją 15.102.0 oraz w gałęzi 16.x przed 16.11.0 występuje luka SQL injection w niektórych endpointach z powodu braku walidacji danych wejściowych, co pozwala na manipulację zapytaniami do bazy danych. Uwierzytelniony atakujący może wysyłać specjalnie spreparowane żądania do podatnych endpointów, aby wyodrębnić wrażliwe informacje z bazy danych.

W Frappe ERPNext przed wersją 15.106.0 oraz w gałęzi 16.x przed 16.16.0 występuje luka SQL injection w niektórych endpointach z powodu braku walidacji danych wejściowych. Uwierzytelniony atakujący może wysyłać specjalnie spreparowane żądania, aby wstrzyknąć SQL do zapytań bazy danych i wyodrębnić wrażliwe informacje z bazy.

W Frappe ERPNext przed wersją 15.106.0 oraz w gałęzi 16.x przed 16.16.0 występuje luka SQL injection w wielu endpointach spowodowana brakiem walidacji danych wejściowych. Uwierzytelniony atakujący może wysyłać specjalnie spreparowane żądania do tych endpointów, aby manipulować zapytaniami do bazy i wyodrębnić wrażliwe informacje z bazy ERPNext.

W Frappe ERPNext przed wersją 15.106.0 oraz w gałęzi 16.x przed 16.16.0 występuje luka SQL injection w niektórych endpointach z powodu braku walidacji danych wejściowych. Uwierzytelnieni atakujący o niskich uprawnieniach mogą wysyłać specjalnie spreparowane żądania do tych endpointów, aby wstrzyknąć SQL i wyodrębnić wrażliwe informacje z bazy danych.

W Frappe ERPNext przed wersją 15.119.0 oraz w gałęzi 16.x przed 16.31.0 występuje luka braku autoryzacji. Niektóre endpointy nie egzekwują prawidłowych kontroli uprawnień. Uwierzytelniony atakujący może wysyłać żądania do tych endpointów, aby tworzyć rekordy i modyfikować dane poza zakresem swojej roli, omijając ograniczenia oparte na rolach.

W Frappe ERPNext przed wersją 15.119.0 oraz w gałęzi 16.x przed 16.31.0 występuje luka braku autoryzacji. Niektóre endpointy nie egzekwują prawidłowych kontroli uprawnień na danych wyceny. Uwierzytelnieni użytkownicy o niskich uprawnieniach mogą odpytywać te endpointy, aby odczytać informacje o wycenie poza zakresem swojej roli.

W Frappe ERPNext przed wersją 15.111.0 oraz w gałęzi 16.x przed 16.22.0 występuje luka braku autoryzacji w niektórych endpointach związanych z projektami, które nie egzekwują kontroli uprawnień. Uwierzytelnieni użytkownicy o niskich uprawnieniach mogą wywoływać te endpointy bezpośrednio, aby odczytać dane projektowe poza zakresem swojej roli.

W Frappe ERPNext przed wersją 15.110.0 oraz w gałęzi 16.x przed 16.21.0 występuje luka braku autoryzacji. Niektóre endpointy nie egzekwują poprawnych kontroli uprawnień, co pozwala uwierzytelnionym użytkownikom odczytywać dane wykraczające poza ich rolę.

W Frappe ERPNext przed wersją 15.110.0 oraz w gałęzi 16.x przed 16.21.0 występuje luka braku autoryzacji w niektórych endpointach. Nieuwierzytelnieni zdalni atakujący mogą wywoływać te endpointy, aby tworzyć rekordy i sprawdzać dostępność, nawet gdy administrator wyłączył odpowiednią funkcję.

Frappe ERPNext przed wersją 16.22.0 zawiera podatność typu missing authorization, która pozwala uwierzytelnionym użytkownikom modyfikować rekordy poprzez wywoływanie punktów końcowych bez odpowiednich kontroli autoryzacji. Atakujący mogą wywoływać te punkty końcowe, aby wykonywać operacje na rekordach poza swoją rolą.

W Frappe ERPNext przed wersją 15.102.0 oraz w gałęzi 16.x przed 16.8.0 występuje luka SQL injection w niektórych endpointach z powodu braku walidacji danych wejściowych. Uwierzytelnieni atakujący z niskimi uprawnieniami mogą wysyłać specjalnie spreparowane żądania, aby wyodrębnić poufne informacje z bazy danych.

W Frappe ERPNext przed wersją 15.110.0 oraz w gałęzi 16.x przed 16.21.0 występuje luka SQL injection w niektórych endpointach spowodowana brakiem walidacji danych wejściowych. Uwierzytelnieni atakujący mogą wysyłać specjalnie spreparowane żądania, aby manipulować zapytaniami do bazy danych i wyodrębnić poufne informacje.

W Frappe ERPNext przed wersją 16.14.0 występuje luka braku autoryzacji, która pozwala uwierzytelnionym użytkownikom modyfikować dane podstawowe (master data) wykraczające poza ich uprawnienia. Atakujący mogą wysyłać żądania do niektórych endpointów bez odpowiednich kontroli autoryzacji, aby dokonywać nieautoryzowanych zmian w rekordach danych podstawowych.

W Frappe ERPNext przed wersją 15.115.0 oraz w gałęzi 16.x przed 16.26.0 występuje luka braku autoryzacji, ponieważ niektóre endpointy nie egzekwują poprawnych kontroli uprawnień. Uwierzytelnieni atakujący z kontami o niskich uprawnieniach mogą wywoływać te endpointy, aby odczytywać dane finansowe wykraczające poza ich rolę.

W Frappe ERPNext przed wersją 15.105.0 oraz w gałęzi 16.x przed 16.15.0 występuje luka braku autoryzacji w niektórych endpointach tworzenia dokumentów, które nie weryfikują, czy żądający użytkownik portalu należy do docelowej strony. Uwierzytelnieni użytkownicy portalu mogą wysyłać żądania do tych endpointów, aby tworzyć dokumenty w imieniu stron innych niż ich własna.

W Frappe ERPNext przed wersją 15.121.0 oraz w gałęzi 16.x przed 16.34.0 występuje luka SQL injection w niektórych endpointach z powodu braku walidacji danych wejściowych. Uwierzytelnieni atakujący z wysokimi uprawnieniami mogą wysyłać specjalnie spreparowane żądania, aby wstrzyknąć SQL i wyodrębnić poufne informacje z bazy danych.

Frappe ERPNext przed wersją 15.119.1 oraz 16.x przed 16.32.0 zawiera podatność typu stored XSS, ponieważ treści przesyłane przez publiczną stronę rezerwacji są przechowywane bez neutralizacji. Nieuwierzytelnieni atakujący mogą przesłać spreparowaną treść, która jest renderowana jako surowy HTML w sesji uprzywilejowanego użytkownika, wykonując skrypt w jego kontekście.

W Frappe ERPNext przed wersją 15.121.0 oraz w gałęzi 16.x przed 16.33.0 występuje luka braku autoryzacji, w której niektóre endpointy nie egzekwują poprawnych kontroli uprawnień. Uwierzytelnieni użytkownicy mogą wywoływać te endpointy bezpośrednio, aby odczytywać dane wykraczające poza ich rolę.

W Frappe ERPNext przed wersją 15.119.1 oraz w gałęzi 16.x przed 16.32.0 występuje luka SQL injection w niektórych endpointach, które nie walidują danych wejściowych, co pozwala spreparowanym danym zmieniać zapytania do bazy danych. Uwierzytelnieni atakujący z niskimi uprawnieniami mogą wysyłać specjalnie spreparowane żądania, aby wyodrębnić poufne informacje z bazy danych.