CVE-2026-116492
Açıklama
1.89.1 sürümünden önceki Frappe CRM uygulaması, kimliği doğrulanmış düşük yetkili kullanıcıların, izin sistemini çağırmadan ham veritabanı sorguları gerçekleştiren get_contact_by_phone_number API'sini sorgulayarak erişim yetkilerinin olmadığı CRM Lead kayıtlarını okumasına olanak tanıyan bir yetkilendirme eksikliği zafiyeti içermektedir. Saldırganlar, standart API ve kullanıcı arayüzü erişim kontrolleri tarafından engellenen tam lead detaylarını elde etmek için crm.integrations.api.get_contact_by_phone_number uç noktasına bilinen bir telefon numarası sağlayabilir; bu durum hassas CRM verilerinin yetkisiz ifşasına yol açar.
Nasıl düzeltilir
- frappe crm1.89.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| frappe crm | 1.0.0 ≤ v < 1.89.1 | 1.89.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.