В Frappe Helpdesk и CRM нашли три уязвимости авторизации

Опубликованы CVE-2026-111937, CVE-2026-111938 и CVE-2026-111939 для приложений Frappe: через подставной raised_by можно создавать тикеты от имени других клиентов и читать их ответы, через call_sid — менять чужие журналы звонков, а список уведомлений CRM не ограничен правами пользователя. Исправления вышли в Helpdesk 1.26.0 и CRM 1.74.0/1.81.2.

• CVE-2026-111939 (CVSS 4.6): подмена raised_by в Helpdesk до 1.26.0 позволяет читать ответы жертвы
• CVE-2026-111938 (CVSS 4.3): произвольный call_sid в CRM до 1.74.0 даёт правку чужих журналов звонков
• CVE-2026-111937: в CRM до 1.81.2 нет проверки доступа к уведомлениям других пользователей
• Все три записи в NVD имеют статус Deferred, исправления выпущены на уровне релизов