Qué es y cómo funciona la falla
La vulnerabilidad CVE-2026-129429 es una falta de autorización (CWE-862) en el módulo india-payroll del framework Frappe. Se encuentra en los métodos get_employee_details, compute_tax_comparison y set_tax_regime del archivo tax_regime_selector.py. Un atacante autenticado con privilegios bajos puede explotarla para acceder a datos de nómina de otros empleados o cambiar el régimen fiscal en asignaciones de estructura salarial en borrador, afectando así las retenciones de impuestos.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones del módulo Frappe india-payroll anteriores a la 16.0.4.
Impacto y probabilidad de explotación
El impacto principal es la exposición de información confidencial de nómina, como salario base y componentes de ganancias y deducciones de otros empleados. El CVSS es 7.1, lo que indica una severidad alta. Según datos de Shodan, actualmente hay 0 hosts indexados expuestos directamente en internet con esta vulnerabilidad detectada, lo que sugiere un volumen bajo de objetivos expuestos públicamente. El INCIBE-CERT de España clasifica su severidad como P (por determinar o prioritaria).
| CVE | CVE-2026-129429 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.1 / 10 |
| CWE | CWE-862 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).