- Yama var
- Son 7 gün
- CWE-862
CVE-2026-124315
Frappe ERPNext before 15.121.4 and 16.36.0 Missing Authorization via get_bom_items
Orta
6,5
CVSS 3.1
- Yayımlandı
- Güncellendi
- 7 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Özet
Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.
Frappe ERPNext before 15.121.4 and 16.x before 16.36.0 contains a missing authorization vulnerability in the whitelisted get_bom_items and get_bom_diff methods that skip BOM read permission checks. Any authenticated user, including portal or no-role users, can call get_bom_items with a BOM name to retrieve every raw material, quantity, rate and cost.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| frappe erpnext | < 15.121.4 | 15.121.4 |
| ≥ 16.0.0-beta.1, < 16.36.0 | 16.36.0 | |
| 15.121.4 Etkilenmiyor | – | |
| 16.36.0 Etkilenmiyor | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…rpnext/security/advisories/GHSA-w587-ghqf-6jpp Üretici bülteni
- github.com/…ommit/48635ee6b56a08dc5663d283d8e29c4e30190ad3 Yama
- github.com/…ommit/aea326869b4f7ba96629eaec7e5d2eff3957c364 Yama
- vulncheck.com/…6.36.0-missing-authorization-via-get-bom-items Üçüncü taraf
- github.com/…d9e74/erpnext/manufacturing/doctype/bom/bom.py Diğer
- github.com/frappe/erpnext Diğer
Kayıt geçmişi
- Yayımlandı