CVE-2025-68929
KrytyczneStreszczenie
Frappe to framework webowy pełnego stosu. Przed wersjami 14.99.6 i 15.88.1 uwierzytelniony użytkownik z określonymi uprawnieniami mógł zostać nakłoniony do otwarcia specjalnie spreparowanego linku. Może to prowadzić do wykonania złośliwego szablonu na serwerze, co skutkuje zdalnym wykonaniem kodu. Wersje 14.99.6 i 15.88.1 naprawiają ten problem. Nie są dostępne żadne znane obejścia.
Ocena ryzyka
Uwierzytelniony użytkownik może wykorzystać podatność do zdalnego wykonania kodu na serwerze, co może prowadzić do pełnej kompromitacji systemu.
Rekomendacja
Zaktualizuj Frappe do wersji 14.99.6 lub 15.88.1 lub nowszej, aby naprawić podatność.
Oryginalny opis (angielski, źródło NVD)
Frappe is a full-stack web application framework. Prior to versions 14.99.6 and 15.88.1, an authenticated user with specific permissions could be tricked into accessing a specially crafted link. This could lead to a malicious template being executed on the server, resulting in remote code execution. Versions 14.99.6 and 15.88.1 fix the issue. No known workarounds are available.