CVE-2026-109672: в Frappe ERPNext отсутствует проверка авторизации, раскрывающей финансовые данные
В Frappe ERPNext до 15.118.0 и в ветке 16.x до 16.27.0 обнаружена уязвимость отсутствия авторизации (Missing Authorization). Аутентифицированный пользователь может через отдельные эндпоинты прочитать финансовые данные, выходящие за рамки его роли. Уровень опасности — HIGH (CVSS 7.1).
Подробности
Уязвимость затрагивает продукт Frappe ERPNext в версиях до 15.118.0, а также в ветке 16.x до 16.27.0. Категория — Missing Authorization (CWE-862): определённые эндпоинты не выполняют должных проверок авторизации при обработке запросов. Эксплуатация не требует особой подготовки: достаточно быть аутентифицированным пользователем системы. Направив запросы к уязвимым эндпоинтам, злоумышленник может прочитать финансовые данные, доступ к которым его ролью не предусмотрен. То есть речь идёт не о внешнем несанкционированном проникновении, а о горизонтальном/вертикальном расширении доступа со стороны уже имеющего учётную запись лица — что особенно актуально для внутренних угроз и скомпрометированных的低 привилегированных аккаунтов. Уровень опасности по CVSS — 7.1 (HIGH). Основное последствие — нарушение конфиденциальности: раскрытие финансовой информации, которая может использоваться для мошенничества, конкурентной разведки или подготовки более серьёзных атак.Что делать
- Обновите Frappe ERPNext до версии 15.118.0 или выше для ветки 15.x. - Для ветки 16.x обновитесь до версии 16.27.0 или выше. - Если немедленное обновление невозможно, временно ограничьте доступ к затронутым эндпоинтам на уровне reverse-proxy/WAF и пересмотрите права ролей, выдав минимально необходимые разрешения. - Проведите аудит учётных записей и журналов доступа к финансовым данным на предмет подозрительных запросов. - Убедитесь, что принцип наименьших привилегий применяется ко всем ролям, работающим с финансовыми модулями. Итог: CVE-2026-109672 — показательный пример того, что аутентификация без корректной авторизации не защищает данные. Уязвимость закрывается обновлением до 15.118.0 / 16.27.0, однако организациям стоит дополнительно пересмотреть модель ролей и мониторинг доступа к финансовой информации.Источник: CVE Project (cvelistV5)