CVE-2026-126315: Frappe HRMS expone datos sensibles de empleados incluso con telemetría desactivada

Qué es y cómo funciona

Frappe HRMS versión 16.14.0 hasta 16.20.1 envía eventos de uso del producto durante transacciones de recursos humanos sin verificar la configuración de telemetría del sitio. Algunos eventos incluyen más detalles de los necesarios, transmitiendo información como nombres de tipos de licencia, montos reclamados y puntajes de evaluación incluso cuando la telemetría está deshabilitada.

Productos y versiones afectadas

Frappe HRMS desde versión 16.14.0 hasta 16.20.1.

Impacto

Exposición no autorizada de datos sensibles de empleados (licencias, montos financieros, evaluaciones) a servicios externos de telemetría sin consentimiento del administrador.

Probabilidad de explotación

CVSS 9.8 (Crítico) - EPSS 0.6% (percentil 47%) de probabilidad de explotación en 30 días. Shodan reporta 0 hosts detectados actualmente con esta vulnerabilidad.

CVE	CVE-2026-126315
Severidad	CRITICAL
CVSS	9.8 / 10
EPSS	0.6% en 30 días (percentil 47)
CWE	CWE-359
Exposición (Shodan)	sin hosts expuestos detectados actualmente