CVE-2026-109608
Beschrijving NL
Frappe ERPNext vóór 15.121.0 en 16.x vóór 16.34.0 bevat een kwetsbaarheid voor SQL-injectie in verschillende eindpunten die geen invoervalidatie hebben. Elke geverifieerde gebruiker, inclusief een gebruiker zonder toegewezen rollen, kan speciaal ontworpen verzoeken verzenden om de gevoelige informatie van andere gebruikers te lezen en te escaleren naar een geprivilegieerd account.
Origineel (Engels) tonen
Frappe ERPNext before 15.121.0 and 16.x before 16.34.0 contains an SQL injection vulnerability in several endpoints that lack input validation. Any authenticated user, including one with no assigned roles, can send specially crafted requests to read other users' sensitive information and escalate to a privileged account.