CVE-2025-11280
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
W Frappe LMS 2.35.0 wykryto podatność w nieznanej funkcji pliku /files/ komponentu Assignment Picture Handler. Manipulacja powoduje bezpośrednie żądanie, które może być zainicjowane zdalnie. Złożoność ataku jest wysoka, a wykorzystanie uznawane za trudne, jednak exploit został publicznie ujawniony i może być użyty.
Ocena ryzyka
Atakujący może zdalnie wykorzystać podatność do uzyskania nieautoryzowanego dostępu do plików, co może prowadzić do wycieku danych lub dalszej kompromitacji systemu.
Rekomendacja
Zaktualizuj Frappe LMS do najnowszej wersji, ponieważ dostawca potwierdził, że problem został naprawiony.
Inne podatności w Frappe LMS
Zobacz wszystkie- CVE-2026-39405Krytyczne
W Frappe Learning Management System (LMS) w wersjach 2.50.0 i niższych użytkownik z rolą edytora kursu może przesłać spakowany plik SCORM ZIP, aby zapisać pliki poza zamierzonym katalogiem. Podatność naprawiona w wersji 2.50.1.
- CVE-2026-39385Wysokie
Frappe LMS w wersji 2.51.0 i wcześniejszych umożliwia użytkownikowi ominięcie walidacji płatności za kursy poprzez użycie niepowiązanego batcha. Luka została załatana w wersji 2.52.0.
- CVE-2026-39415Średnie
Frappe Learning Management System (LMS) przed wersją 2.46.0 umożliwia studentom modyfikację wyników quizów przed wysłaniem. Aplikacja polega na obliczeniach po stronie klienta, które można zmienić za pomocą narzędzi deweloperskich przeglądarki, co narusza integralność wyników.
- CVE-2026-34606Średnie
Frappe LMS jest podatny na trwałe ataki XSS (Cross-Site Scripting). Luka występuje w wersjach od 2.27.0 do 2.48.0.
- CVE-2025-67734Średnie
Frappe Learning Management System (LMS) przed wersją 2.42.0 pozwala uwierzytelnionym atakującym na wprowadzenie JavaScript przez pole Company Website w formularzu pracy, narażając użytkowników na atak XSS. Skrypt może być wykonany w przeglądarkach użytkowników, którzy otworzą złośliwą ofertę pracy. Problem naprawiono w wersji 2.42.0.
- CVE-2025-67730Średnie
Frappe Learning Management System (LMS) przed wersją 2.42.0 pozwala uwierzytelnionym użytkownikom na dodawanie złośliwego HTML i JavaScript przez pola opisu w formularzach pracy, kursu i partii. Problem naprawiono w wersji 2.42.0.
- CVE-2025-66581Średnie
Frappe Learning Management System (LMS) przed wersją 2.41.0 ma wadę w logice autoryzacji po stronie serwera, która pozwalała uwierzytelnionym użytkownikom wykonywać działania poza przypisanymi rolami w wielu funkcjach. Ponieważ dotknięte punkty końcowe opierały się na kontrolach po stronie klienta lub na poziomie interfejsu zamiast egzekwować uprawnienia na serwerze, użytkownicy z niskimi rolami (np. studenci) mogli wykonywać operacje przeznaczone tylko dla instruktorów lub administratorów, bezpośrednio korzystając z API. Luka jest naprawiona w wersji 2.41.0.
- CVE-2025-11283Niskie
W Frappe LMS 2.35.0 wykryto podatność w nieznanej funkcji komponentu Course Handler. Manipulacja argumentem Description może prowadzić do cross-site scripting (XSS). Atak może być wykonany zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-11282Niskie
Podatność w Frappe LMS 2.34.x/2.35.0 dotyczy niekompletnej poprawki CVE-2025-55006. Manipulacja nieznaną funkcją prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in Frappe LMS 2.35.0. Impacted is an unknown function of the file /files/ of the component Assignment Picture Handler. This manipulation causes direct request. The attack may be initiated remotely. The attack's complexity is rated as high. The exploitability is considered difficult. The exploit has been published and may be used. It is advisable to upgrade the affected component. The vendor was informed early about a total of four security issues and confirmed that those have been fixed. However, the release notes on GitHub do not mention them.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS