CVE-2025-11283
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
W Frappe LMS 2.35.0 wykryto podatność w nieznanej funkcji komponentu Course Handler. Manipulacja argumentem Description może prowadzić do cross-site scripting (XSS). Atak może być wykonany zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub danych.
Rekomendacja
Zaktualizuj Frappe LMS do najnowszej wersji, ponieważ dostawca potwierdził, że problem został naprawiony.
Inne podatności w Frappe LMS
Zobacz wszystkie- CVE-2026-39405Krytyczne
W Frappe Learning Management System (LMS) w wersjach 2.50.0 i niższych użytkownik z rolą edytora kursu może przesłać spakowany plik SCORM ZIP, aby zapisać pliki poza zamierzonym katalogiem. Podatność naprawiona w wersji 2.50.1.
- CVE-2026-39385Wysokie
Frappe LMS w wersji 2.51.0 i wcześniejszych umożliwia użytkownikowi ominięcie walidacji płatności za kursy poprzez użycie niepowiązanego batcha. Luka została załatana w wersji 2.52.0.
- CVE-2026-39415Średnie
Frappe Learning Management System (LMS) przed wersją 2.46.0 umożliwia studentom modyfikację wyników quizów przed wysłaniem. Aplikacja polega na obliczeniach po stronie klienta, które można zmienić za pomocą narzędzi deweloperskich przeglądarki, co narusza integralność wyników.
- CVE-2026-34606Średnie
Frappe LMS jest podatny na trwałe ataki XSS (Cross-Site Scripting). Luka występuje w wersjach od 2.27.0 do 2.48.0.
- CVE-2025-67734Średnie
Frappe Learning Management System (LMS) przed wersją 2.42.0 pozwala uwierzytelnionym atakującym na wprowadzenie JavaScript przez pole Company Website w formularzu pracy, narażając użytkowników na atak XSS. Skrypt może być wykonany w przeglądarkach użytkowników, którzy otworzą złośliwą ofertę pracy. Problem naprawiono w wersji 2.42.0.
- CVE-2025-67730Średnie
Frappe Learning Management System (LMS) przed wersją 2.42.0 pozwala uwierzytelnionym użytkownikom na dodawanie złośliwego HTML i JavaScript przez pola opisu w formularzach pracy, kursu i partii. Problem naprawiono w wersji 2.42.0.
- CVE-2025-66581Średnie
Frappe Learning Management System (LMS) przed wersją 2.41.0 ma wadę w logice autoryzacji po stronie serwera, która pozwalała uwierzytelnionym użytkownikom wykonywać działania poza przypisanymi rolami w wielu funkcjach. Ponieważ dotknięte punkty końcowe opierały się na kontrolach po stronie klienta lub na poziomie interfejsu zamiast egzekwować uprawnienia na serwerze, użytkownicy z niskimi rolami (np. studenci) mogli wykonywać operacje przeznaczone tylko dla instruktorów lub administratorów, bezpośrednio korzystając z API. Luka jest naprawiona w wersji 2.41.0.
- CVE-2025-11282Niskie
Podatność w Frappe LMS 2.34.x/2.35.0 dotyczy niekompletnej poprawki CVE-2025-55006. Manipulacja nieznaną funkcją prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-11280Niskie
W Frappe LMS 2.35.0 wykryto podatność w nieznanej funkcji pliku /files/ komponentu Assignment Picture Handler. Manipulacja powoduje bezpośrednie żądanie, które może być zainicjowane zdalnie. Złożoność ataku jest wysoka, a wykorzystanie uznawane za trudne, jednak exploit został publicznie ujawniony i może być użyty.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in Frappe LMS 2.35.0. This affects an unknown function of the component Course Handler. Executing manipulation of the argument Description can lead to cross site scripting. The attack can be executed remotely. The exploit has been publicly disclosed and may be utilized. It is suggested to upgrade the affected component. The vendor was informed early about a total of four security issues and confirmed that those have been fixed. However, the release notes on GitHub do not mention them.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS