CVE-2026-108734
ŚrednieCVSS 4.3Streszczenie
Frappe CRM w wersjach od 1.49.0 do 1.87.0 zawiera podatność braku autoryzacji w crm.api.doc.get_linked_docs_of_document, która pozwala uwierzytelnionym użytkownikom czytać powiązane dokumenty bez sprawdzania uprawnień. Atakujący może wskazać leada, deala, komentarz lub użytkownika, których nie może czytać, aby uzyskać powiązane numery telefonów z dzienników połączeń, organizacje dealów i tekst powiadomień o wzmiankach.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych informacji, takich jak numery telefonów, dane organizacji i treści powiadomień, co prowadzi do naruszenia prywatności i wycieku danych. Ryzyko obejmuje również możliwość wykorzystania tych informacji do dalszych ataków socjotechnicznych.
Rekomendacja
Zaktualizuj Frappe CRM do wersji nowszej niż 1.87.0, jeśli jest dostępna, oraz wdrożyć sprawdzanie uprawnień w metodzie get_linked_docs_of_document. Przeprowadź audyt logów dostępu do powiązanych dokumentów pod kątem nieautoryzowanych odczytów.
Inne podatności w Frappe CRM
Zobacz wszystkie- CVE-2026-53761Wysokie
Frappe CRM przed wersją 1.73.0 zawiera podatność obejścia uwierzytelniania poprzez zalogowane klucze zaproszeń w crm/api. Atakujący może wykorzystać te klucze do nieautoryzowanego dostępu.
- CVE-2025-68928Średnie
Frappe CRM to narzędzie open source do zarządzania relacjami z klientami. W wersjach przed 1.56.2 uwierzytelnieni użytkownicy mogli umieszczać spreparowane adresy URL w polu witryny, które nie były sanityzowane, co prowadziło do ataków cross-site scripting. Wersja 1.56.2 naprawia ten problem.
Oryginalny opis (angielski, źródło NVD)
Frappe CRM 1.49.0 through 1.87.0 contains a missing authorization vulnerability in crm.api.doc.get_linked_docs_of_document that allows authenticated users to read linked documents without permission checks. Attackers can name a lead, deal, comment or user they cannot read to obtain linked call log phone numbers, deal organizations and mention notification text.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS