- Yama var
- Son 7 gün
- CWE-862
CVE-2026-116492
Frappe CRM'de telefon numarası sorgulama API'sinde yetkilendirme eksikliği
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Frappe CRM uygulamasının 1.89.1 öncesi sürümleri, yetkilendirme eksikliği içeren bir zafiyet barındırır. Bu zafiyet, kimliği doğrulanmış düşük ayrıcalıklı kullanıcıların, erişim izinleri bulunmayan CRM Lead kayıtlarını okumasına olanak tanır. Saldırı, izin sistemini devreye sokmayan ham veritabanı sorguları gerçekleştiren get_contact_by_phone_number API'si üzerinden yapılır. Saldırganlar, bilinen bir telefon numarasını crm.integrations.api.get_contact_by_phone_number uç noktasına göndererek, standart API ve arayüz erişim denetimlerinin engellediği tüm lead ayrıntılarını elde edebilir. Sonuç olarak hassas CRM verileri yetkisiz kişilere ifşa edilir.
Kaynaktaki açıklama (İngilizce)
Frappe CRM app before 1.89.1 contains a missing authorization vulnerability that allows authenticated low-privileged users to read CRM Lead records they are not permitted to access by querying the get_contact_by_phone_number API, which performs raw database queries without invoking the permission system. Attackers can supply a known phone number to the crm.integrations.api.get_contact_by_phone_number endpoint to retrieve full lead details otherwise blocked by standard API and UI access controls, resulting in unauthorized disclosure of sensitive CRM data.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| frappe crm | ≥ 1.0.0, < 1.89.1 | 1.89.1 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.