- Yama var
- Son 7 gün
- CWE-862
CVE-2026-124314
Frappe ERPNext before 15.121.4 and 16.36.0 Missing Authorization via get_open_activities
Orta
6,5
CVSS 3.1
- Yayımlandı
- Güncellendi
- 7 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Özet
Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.
Frappe ERPNext before 15.121.4 and 16.x before 16.36.0 contains a missing authorization vulnerability in erpnext.crm.utils.get_open_activities that exposes ToDo and Event records. Any authenticated user, including portal or no-role users, can supply arbitrary ref_doctype and ref_docname values to enumerate activities and private calendar event details.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| frappe erpnext | < 15.121.4 | 15.121.4 |
| ≥ 16.0.0-beta.1, < 16.36.0 | 16.36.0 | |
| 15.121.4 Etkilenmiyor | – | |
| 16.36.0 Etkilenmiyor | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…rpnext/security/advisories/GHSA-w264-5p9f-hfwm Üretici bülteni
- github.com/…ommit/48635ee6b56a08dc5663d283d8e29c4e30190ad3 Yama
- github.com/…ommit/aea326869b4f7ba96629eaec7e5d2eff3957c364 Yama
- vulncheck.com/…-missing-authorization-via-get-open-activities Üçüncü taraf
- github.com/…1f75ae2a45b1446a0a2dd9e74/erpnext/crm/utils.py Diğer
- github.com/frappe/erpnext Diğer
Kayıt geçmişi
- Yayımlandı