Frappe HR Authorization Bypass via get_account_and_amount (CVE-2026-40888/108732)

バグの概要 CVE-2026-40888 / CVE-2026-108732: Frappe HR (hrms) 16.11.0 以前における 経由の認証の欠如 脆弱性の種類: 権限回避（Authorization Bypass） 影響を受けるモジュール: Frappe HR suite、Full and Final Statement モジュール 脆弱性説明: Frappe HRMS の 関数は、Full and Final Statement モジュール内でモジュールレベルの補助関数として公開されています。この関数はリクエストから直接 、 、および を取得し、 を使用して財務金額を読み取ります。 の場合、スลิปの純支給額（ ）と給与支払用口座を返します。この関数には、権限チェック、ロールチェック、または所有権チェックが含まれていません。HR ロールや従業員へのリンクを持たない認証済みユーザーであっても、会社全体の従業員の給与スリップの純支給額を読み取ることができます。 影響範囲 影響を受けるバージョン: Frappe HR suite、Full and Final Statement モジュールの 15.x および 16.x（v15.64.3 および v16.0.0 から v16.10.1 を含む） 修正バージョン: 16.x は v16.11.0 で修正されましたが、15.x バージョンには修正が含まれていません 修正方法 修正方法: 関数に権限チェックを追加します。具体的な修正は、 ファイル内の null チェックの後に以下の1行を追加することです： 修正バージョン: 16.x は v16.11.0 で修正済み、15.x ではこの修正を手動で適用する必要があります POC コード 詳細な攻撃手順 1. HRユーザーと給与スリップの作成 - HRマネージャーとして、従業員と提出済み給与スリップを作成します。 - デフォルトの命名規則を使用し、給与スリップ名は とします。 2. 低権限の攻撃者としてログイン - HRロールを持たず、どの従業員にもリンクされていない通常のシステムユーザーとしてログインします。 3. 直接読み取りが拒否されることを確認 - 標準的なリソースルートを使用して給与スリップの読み取りを試み、権限エラーを返します。 4. ホワイトリストメソッドの呼び出し - 同上の給与スリップ名を使用してホワイトリストメソッドを呼び出し、ドキュメント権限モデルをバイパスします。 5. 他の従業員とその他の金額タイプを読み取る - ステップ4を繰り返します。他の給与スリップ名を使用して、他の従業員の純支給額およびその他の金額タイプを読み取ります。 6. 状態変化 - この関数は2つの値を読み取って返すのみであり、影響は給与スリップ金額の機密性に関連しています。 検証 静的および分離環境: Frappe bench、データベース、またはネットワーク接続は行いません。 完全なテスト: Frappe bench およびデータベースを使用した完全なテストを行います。 参考 レポート者: HainD (Nguyen Dinh Hai), Post and Telecommunication Institute of Technology GitHub: github.com/HainD03 プロジェクト: frappe/hrms, Frappe HR suite, Full and Final Statement モジュール レビュー対象バージョン: v15.64.3, v16.0.0 から v16.10.1 修正バージョン: v16.11.0 分類: CWE-862 Missing Authorization, CWE-639 Authorization Bypass Through User-Controlled Key

目標達成すべての支援者に感謝 — 100%達成しました！

Frappe HR Authorization Bypass via get_account_and_amount (CVE-2026-40888/108732)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Frappe HR Authorization Bypass via get_account_and_amount (CVE-2026-40888/108732)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！