Frappe CRM before 1.81.2 contains a missing authorization vulnerability that allows authenticated Sales Users to access other users' CRM Notification records due to absent permission hooks. Attackers can query frappe.client endpoints filtering on to_user or call mark_as_read with another user argument to read, mark read, or delete others' notifications.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 7
https://github.com/frappe/crm/blob/v1.81.1/crm/api/notifications.py
disclosure@vulncheck.com
https://github.com/frappe/crm/blob/v1.81.1/crm/fcrm/doctype/crm_notification/cr…
disclosure@vulncheck.com
https://github.com/frappe/crm/blob/v1.81.1/crm/hooks.py
disclosure@vulncheck.com
https://github.com/frappe/crm/commit/a24d73acefa7f98f46903858514444442ce57614
disclosure@vulncheck.com
https://github.com/frappe/crm/releases/tag/v1.81.2
disclosure@vulncheck.com
https://github.com/frappe/crm/security/advisories/GHSA-4rjw-6mxx-m345
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/frappe-crm-before-1.81.2-missing-authoriza…
disclosure@vulncheck.com