CVE-2025-56380
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W Frappe Framework w wersji 15.72.4 wykryto podatność SQL injection poprzez parametr fieldname w punkcie końcowym API frappe.client.get_value oraz spreparowany skrypt do parametru fieldname. Umożliwia to atakującemu wykonanie złośliwych zapytań SQL.
Ocena ryzyka
Może skutkować nieautoryzowanym dostępem do danych, ich modyfikacją lub ujawnieniem, co zagraża bezpieczeństwu informacji w aplikacjach opartych na Frappe.
Rekomendacja
Zaktualizuj Frappe Framework do wersji z poprawką lub wdróż walidację parametrów i ogranicz dostęp do podatnego API.
Inne podatności w Frappe Framework
Zobacz wszystkie- CVE-2026-124443Średnie
Frappe Framework przed wersją 15.121.1 oraz 16.x przed 16.35.0 zawiera lukę złamanej kontroli dostępu w zapytaniach listy i raportów File, która nie ogranicza rekordów prywatnych plików do uprawnionych użytkowników. Uwierzytelnieni użytkownicy mogą odpytywać widoki listy File lub raportów, aby uzyskać metadane prywatnych plików, do których nie mają uprawnień.
- CVE-2025-67289Krytyczne
Podatność na dowolne przesyłanie plików w module Załączniki Frappe Framework v15.89.0 umożliwia atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku XML.
- CVE-2026-119144Wysokie
Frappe Framework w wersjach przed 15.111.0 oraz 16.x przed 16.21.0 zawiera podatność Server-Side Template Injection (SSTI), ponieważ pola wiadomości kontrolowane przez użytkownika są renderowane jako szablony bez neutralizacji. Uwierzytelniony atakujący z typową rolą operacyjną może wstrzyknąć wyrażenia szablonów, które serwer ewaluuje w nieograniczonym kontekście.
- CVE-2026-114664Wysokie
Frappe Framework przed wersją 16.33.0 zawiera podatność blind SQL injection w metodzie frappe.desk.doctype.event.event.get_events, która nie neutralizuje poprawnie danych wejściowych użytkownika przed umieszczeniem ich w zapytaniach SQL. Uwierzytelnieni atakujący mogą wysyłać spreparowane dane do get_events i wnioskować o wynikach zapytań na podstawie zachowania aplikacji, aby wyodrębnić poufne informacje z bazy danych.
- CVE-2026-111388Średnie
Frappe Framework przed wersją 15.120.0 oraz 16.x przed 16.33.0 nie egzekwuje listy dozwolonych adresów IP restrict_ip dla metod uwierzytelniania innych niż sesyjne, takich jak klucz API, OAuth i uwierzytelnianie nagłówkowe. Atakujący z ważnymi poświadczeniami tych typów może zalogować się z adresu IP spoza listy.
- CVE-2026-109603Niskie
Frappe Framework w wersjach 15.x przed 15.107.3 oraz 16.x przed 16.17.0 korzysta z podatnej biblioteki pdfkit (CVE-2025-26240) do generowania PDF, co umożliwia SSRF oraz lokalne włączenie plików. Uwierzytelniony atakujący może dostarczyć spreparowaną treść do renderowania PDF, aby zmusić serwer do pobrania zasobów wewnętrznych lub osadzenia lokalnych plików w wygenerowanym PDF.
- CVE-2026-109601Wysokie
W Frappe Framework przed wersją 15.117.0 oraz 16.x przed 16.30.0 występuje podatność arbitrary file read w obsłudze atrybutów w HTML wychodzącej poczty e-mail. Atakujący, którzy mogą dostarczyć treść wychodzącej wiadomości e-mail, mogą ustawić wartość atrybutu wskazującą lokalną ścieżkę pliku, aby ujawnić wrażliwe pliki serwera.
- CVE-2026-109600Średnie
W Frappe Framework przed wersją 15.118.0 oraz 16.x przed 16.31.0 system nie sprawdza, czy konto użytkownika jest wyłączone, przed wysłaniem powiadomień e-mail Document Follow. Wyłączony użytkownik, który wcześniej obserwował dokumenty, nadal otrzymuje aktualizacje e-mail o aktywności na tych dokumentach po tym, jak jego dostęp powinien zostać odebrany.
- CVE-2026-109598Średnie
W Frappe Framework przed wersją 15.120.0 oraz 16.x przed 16.33.0 występuje brak kontroli autoryzacji w białej liście endpointu API send_sms, który nie weryfikuje, czy wywołujący ma uprawnienia do wysyłania wiadomości SMS. Użytkownicy bez wymaganych uprawnień mogą wywołać send_sms, aby wysyłać dowolne wiadomości SMS podszywając się pod Firmę.
- CVE-2026-82634Średnie
Wersje deweloperskie Frappe Framework zawierają wadę autoryzacji w punkcie końcowym render_jinja_template, która pozwala użytkownikom z niskimi uprawnieniami na renderowanie dowolnych szablonów Jinja poprzez podanie surowych ciągów szablonów. Atakujący z uprawnieniami do drukowania dowolnego dokumentu mogą wykonywać dowolne zapytania SELECT przeciwko niepowiązanym tabelom, w tym odczytywać hashe haseł z tabeli __Auth.
Oryginalny opis (angielski, źródło NVD)
Frappe Framework v15.72.4 was discovered to contain a SQL injection vulnerability via the fieldname parameter in the frappe.client.get_value API endpoint and a crafted script to the fieldname parameter
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS