Frappe ERPNext versions before 16.34.1 fail to validate that Financial Report Template calculation_formula values reference whitelisted methods before passing them to frappe.call(). Accounts Managers can supply arbitrary dotted Python paths to invoke non-whitelisted internal server-side methods and read their return values.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Frappe Erpnext
cpe:2.3:a:frappe:erpnext:*:*:*:*:*:*:*:*
|
16.0.0
|
16.34.1
|
Ссылки 6
https://github.com/frappe/erpnext
disclosure@vulncheck.com
https://github.com/frappe/erpnext/blob/v16.34.0/erpnext/accounts/doctype/financ…
disclosure@vulncheck.com
https://github.com/frappe/erpnext/blob/v16.34.0/erpnext/accounts/doctype/financ…
disclosure@vulncheck.com
https://github.com/frappe/erpnext/commit/7aad59b129711e9bba17b25665428d1fc57bf3…
disclosure@vulncheck.com
https://github.com/frappe/erpnext/security/advisories/GHSA-794x-fhm7-58j7
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/frappe-erpnext-before-16.34.1-unauthorized…
disclosure@vulncheck.com