ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يحتوي تطبيق Frappe CRM قبل الإصدار 1.89.1 على ثغرة غياب التفويض التي تسمح للمستخدمين المصادقين ذوي الصلاحيات المنخفضة قراءة سجلات CRM Lead غير المسموح لهم بالوصول إليها عن طريق استعلام واجهة برمجة التطبيقات get_contact_by_phone_number، والتي تقوم بعمل استعلامات قاعدة بيانات خام دون استدعاء نظام الأذونات. يمكن للمهاجمين توفير رقم هاتف معروف لنقطة النهاية crm.integrations.api.get_contact_by_phone_number لاسترداد تفاصيل العملاء المحتملين الكاملة والتي يتم حظرها عادةً بواسطة ضوابط الوصول القياسية لواجهة برمجة التطبيقات واجهة المستخدم، مما يؤدي إلى الكشف غير المصرح به عن بيانات CRM الحساسة.