CVE-2026-109601
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W Frappe Framework przed wersją 15.117.0 oraz 16.x przed 16.30.0 występuje podatność arbitrary file read w obsłudze atrybutów w HTML wychodzącej poczty e-mail. Atakujący, którzy mogą dostarczyć treść wychodzącej wiadomości e-mail, mogą ustawić wartość atrybutu wskazującą lokalną ścieżkę pliku, aby ujawnić wrażliwe pliki serwera.
Ocena ryzyka
Atakujący może odczytać dowolne pliki z serwera, w tym pliki konfiguracyjne i dane uwierzytelniające, co prowadzi do poważnego naruszenia poufności. Może to umożliwić dalszą eskalację uprawnień i przejęcie systemu.
Rekomendacja
Zaktualizuj Frappe Framework do wersji 15.117.0 lub 16.30.0 (lub nowszej). Do czasu aktualizacji ogranicz możliwość dostarczania treści wychodzącej poczty e-mail do zaufanych źródeł.
Inne podatności w Frappe Framework
Zobacz wszystkie- CVE-2025-67289Krytyczne
Podatność na dowolne przesyłanie plików w module Załączniki Frappe Framework v15.89.0 umożliwia atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku XML.
- CVE-2026-109603Niskie
Frappe Framework w wersjach 15.x przed 15.107.3 oraz 16.x przed 16.17.0 korzysta z podatnej biblioteki pdfkit (CVE-2025-26240) do generowania PDF, co umożliwia SSRF oraz lokalne włączenie plików. Uwierzytelniony atakujący może dostarczyć spreparowaną treść do renderowania PDF, aby zmusić serwer do pobrania zasobów wewnętrznych lub osadzenia lokalnych plików w wygenerowanym PDF.
- CVE-2026-109600Średnie
W Frappe Framework przed wersją 15.118.0 oraz 16.x przed 16.31.0 system nie sprawdza, czy konto użytkownika jest wyłączone, przed wysłaniem powiadomień e-mail Document Follow. Wyłączony użytkownik, który wcześniej obserwował dokumenty, nadal otrzymuje aktualizacje e-mail o aktywności na tych dokumentach po tym, jak jego dostęp powinien zostać odebrany.
- CVE-2026-109598Średnie
W Frappe Framework przed wersją 15.120.0 oraz 16.x przed 16.33.0 występuje brak kontroli autoryzacji w białej liście endpointu API send_sms, który nie weryfikuje, czy wywołujący ma uprawnienia do wysyłania wiadomości SMS. Użytkownicy bez wymaganych uprawnień mogą wywołać send_sms, aby wysyłać dowolne wiadomości SMS podszywając się pod Firmę.
- CVE-2026-82634Średnie
Wersje deweloperskie Frappe Framework zawierają wadę autoryzacji w punkcie końcowym render_jinja_template, która pozwala użytkownikom z niskimi uprawnieniami na renderowanie dowolnych szablonów Jinja poprzez podanie surowych ciągów szablonów. Atakujący z uprawnieniami do drukowania dowolnego dokumentu mogą wykonywać dowolne zapytania SELECT przeciwko niepowiązanym tabelom, w tym odczytywać hashe haseł z tabeli __Auth.
- CVE-2026-50709Średnie
W Frappe Framework w wersji 17.0.0-dev występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem danych wejściowych kontrolowanych przez użytkownika w panelu Powiadomienia > Wydarzenia.
- CVE-2026-50705Średnie
W frameworku Frappe w wersji 17.0.0-dev występuje podatność typu Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem niezaufanego wejścia w rendererze nagłówka pulpitu formularza.
- CVE-2026-50704Średnie
W Frappe Framework w wersji 17.0.0-dev występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem danych wejściowych kontrolowanych przez użytkownika w rendererze breadcrumb dla widoku plików.
- CVE-2026-50703Średnie
W Frappe Framework w wersji 17.0.0-dev występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem danych wejściowych kontrolowanych przez użytkownika w rendererze ikon pulpitu.
- CVE-2026-50700Średnie
W Frappe Framework w wersji 17.0.0-dev występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem danych wejściowych kontrolowanych przez użytkownika w funkcji frappe.get_avatar.
Oryginalny opis (angielski, źródło NVD)
Frappe Framework before 15.117.0 and 16.x before 16.30.0 contains an arbitrary file read vulnerability in the handling of attributes in outgoing email HTML. Attackers who can supply outgoing email content can set an attribute value referencing a local file path to expose sensitive server files.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS