ERPNext 15.55.0 through 16.50.0 contains an incorrect authorization vulnerability in the get_timesheet_html method that lets authenticated portal users view project Timesheets. The method only checks Project read access, ignoring hide_timesheets and project membership, so attackers can retrieve timesheet names, status, time-log dates and last modifiers.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 5
https://github.com/frappe/erpnext
disclosure@vulncheck.com
https://github.com/frappe/erpnext/blob/v16.50.0/erpnext/templates/pages/project…
disclosure@vulncheck.com
https://github.com/frappe/erpnext/commit/eb217deef7bd407d34254aee3b3e175e4d357c…
disclosure@vulncheck.com
https://github.com/frappe/erpnext/pull/60280
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/erpnext-15.55.0-through-16.50.0-incorrect-…
disclosure@vulncheck.com