CVE-2025-11461
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W kontrolerze pulpitu Frappe CRM występują liczne podatności SQL Injection wynikające z niebezpiecznej konkatenacji parametrów kontrolowanych przez użytkownika do dynamicznych zapytań SQL. Problem dotyczy wersji 1.53.1.
Ocena ryzyka
Atakujący może wstrzyknąć dowolne zapytania SQL, co grozi ujawnieniem, modyfikacją lub usunięciem danych z bazy CRM. Może to naruszyć poufność danych klientów i integralność systemu.
Rekomendacja
Zaktualizuj Frappe CRM do wersji zawierającej poprawkę. Do czasu aktualizacji ogranicz dostęp do pulpitu CRM i weryfikuj dane wejściowe.
Inne podatności w Frappe CRM
Zobacz wszystkie- CVE-2026-116492Średnie
Aplikacja Frappe CRM przed wersją 1.89.1 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami czytać rekordy CRM Lead, do których nie mają dostępu, poprzez API get_contact_by_phone_number wykonujące surowe zapytania do bazy bez sprawdzania uprawnień. Atakujący może podać znany numer telefonu, aby uzyskać pełne dane leada.
- CVE-2026-111938Średnie
Frappe CRM przed wersją 1.74.0 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom Sales modyfikować dzienniki połączeń innych użytkowników poprzez podanie dowolnych wartości call_sid. Atakujący mogą wywołać endpointy add_note_to_call_log i add_task_to_call_log, aby dołączyć własne notatki i zadania widoczne w dziennikach połączeń, leadach i szansach sprzedaży ofiar.
- CVE-2026-111937Średnie
Frappe CRM przed wersją 1.81.2 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom Sales uzyskać dostęp do rekordów powiadomień CRM innych użytkowników z powodu braku hooków uprawnień. Atakujący mogą odpytywać endpointy frappe.client z filtrem to_user lub wywołać mark_as_read z argumentem innego użytkownika, aby odczytać, oznaczyć jako przeczytane lub usunąć powiadomienia innych.
- CVE-2026-108734Średnie
Frappe CRM w wersjach od 1.49.0 do 1.87.0 zawiera podatność braku autoryzacji w crm.api.doc.get_linked_docs_of_document, która pozwala uwierzytelnionym użytkownikom czytać powiązane dokumenty bez sprawdzania uprawnień. Atakujący może wskazać leada, deala, komentarz lub użytkownika, których nie może czytać, aby uzyskać powiązane numery telefonów z dzienników połączeń, organizacje dealów i tekst powiadomień o wzmiankach.
- CVE-2026-53761Wysokie
Frappe CRM przed wersją 1.73.0 zawiera podatność obejścia uwierzytelniania poprzez zalogowane klucze zaproszeń w crm/api. Atakujący może wykorzystać te klucze do nieautoryzowanego dostępu.
- CVE-2025-68928Średnie
Frappe CRM to narzędzie open source do zarządzania relacjami z klientami. W wersjach przed 1.56.2 uwierzytelnieni użytkownicy mogli umieszczać spreparowane adresy URL w polu witryny, które nie były sanityzowane, co prowadziło do ataków cross-site scripting. Wersja 1.56.2 naprawia ten problem.
Oryginalny opis (angielski, źródło NVD)
Multiple SQL Injections in Frappe CRM Dashboard Controller due to unsafe concatenation of user-controlled parameters into dynamic SQL statements. This issue affects Frappe CRM: 1.53.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS