CVE-2026-94113: autorizzazione mancante in ERPNext timesheet

Il CVE-2026-94113 identifica mancata autorizzazione negli endpoint timesheet whitelisted di Frappe ERPNext. Gli endpoint get_projectwise_timesheet_data, get_timesheet_detail_rate e get_timesheet non applicano controlli doctype permissions sufficienti. Attaccanti autenticati accedono a log di tempo fatturabili, nomi di progetti, importi di fatturazione e descrizioni di lavoro senza verifiche di autorizzazione. La vulnerabilità colpisce ERPNext prima della 15.121.0 e versioni 16.x prima della 16.34.0.

Con CVSS 6,5 classificato come medium, questa vulnerabilità rappresenta un rischio significativo di divulgazione di informazioni sensibili per aziende che utilizzano ERPNext per timesheet e fatturazione. La vulnerabilità è stata pubblicata dal National Vulnerability Database il 2026-09-20; a partire dal 2026-11-07 sono confermati repository GitHub pubblici che contengono proof of concept tecnici, segnale che la comunità di sicurezza ha iniziato l'analisi approfondita e gli attaccanti potrebbero seguire.

Amministratori IT e CISO devono prioritizzare l'aggiornamento di ERPNext ai rilasci corretti: versione 15.121.0 o superiore per la serie 15, oppure 16.34.0 o superiore per la serie 16. Prima dell'aggiornamento, verificare il numero di versione in ambiente e pianificare la finestra di manutenzione. Dopo la patch, validare che i controlli di autorizzazione sui timesheet siano correttamente applicati; verificare inoltre i log di accesso agli endpoint interessati per identificare qualsiasi accesso anomalo o sfruttamento precedente alla correzione.