CVE-2026-109613
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W Frappe ERPNext przed wersją 15.121.0 oraz w gałęzi 16.x przed 16.34.0 występuje luka braku autoryzacji. Niektóre endpointy nie egzekwują poprawnych kontroli dostępu przy modyfikacji statusu dokumentów, co pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach modyfikować dane poza przysługującą im rolą.
Ocena ryzyka
Użytkownik o niskich uprawnieniach może zmieniać dane, do których nie powinien mieć dostępu, obchodząc kontrolę opartą na rolach. Może to prowadzić do nieautoryzowanych modyfikacji dokumentów i naruszenia integralności danych.
Rekomendacja
Zaktualizuj Frappe ERPNext do wersji 15.121.0 lub 16.34.0 (lub nowszej). Do czasu aktualizacji ogranicz dostęp do dotkniętych endpointów i zweryfikuj uprawnienia ról użytkowników.
Inne podatności w Frappe ERPNext
Zobacz wszystkie- CVE-2026-109674Średnie
Frappe ERPNext przed 15.98.0 oraz 16.x przed 16.6.0 zawiera podatność SQL injection w niektórych endpointach spowodowaną brakiem walidacji danych wejściowych.
- CVE-2026-109673Wysokie
Frappe ERPNext przed wersją 15.103.0 oraz 16.x przed 16.12.0 zawiera podatność typu stored XSS, ponieważ nazwy niektórych rekordów nie są prawidłowo neutralizowane podczas renderowania na niektórych pulpitach, narzędziach i portalach. Uwierzytelniony atakujący może tworzyć złośliwe nazwy rekordów, które wykonują skrypty w przeglądarkach innych użytkowników.
- CVE-2026-109672Średnie
Frappe ERPNext przed 15.118.0 oraz 16.x przed 16.27.0 zawiera podatność braku autoryzacji w niektórych endpointach, które nie egzekwują właściwych kontroli uprawnień.
- CVE-2026-109671Wysokie
Frappe ERPNext przed wersją 15.113.0 oraz 16.x przed 16.24.0 zawiera podatność typu stored XSS w polu profilu, które jest renderowane bez escapowania na stronach portalu. Atakujący z niskimi uprawnieniami może zapisać złośliwy skrypt, który wykona się w przeglądarce administratora przeglądającego te strony.
- CVE-2026-109670Średnie
Frappe ERPNext przed 15.110.0 oraz 16.x przed 16.21.0 zawiera podatność trwałego cross-site scripting (stored XSS) spowodowaną renderowaniem nazw rekordów bez escapowania.
- CVE-2026-109669Średnie
Frappe ERPNext przed 15.110.0 oraz 16.x przed 16.21.0 zawiera podatność braku autoryzacji, w której niektóre endpointy nie egzekwują właściwych kontroli uprawnień przy zmianach statusu rekordów.
- CVE-2026-109668Średnie
Frappe ERPNext przed 15.110.0 oraz 16.x przed 16.21.0 zawiera podatność braku autoryzacji w niektórych endpointach obsługujących rekordy stron (party records), pozwalającą uwierzytelnionym użytkownikom modyfikować dane wykraczające poza ich rolę.
- CVE-2026-109667Wysokie
Frappe ERPNext przed wersją 15.111.0 oraz 16.x przed 16.22.0 zawiera podatność typu privilege escalation w punkcie końcowym tworzenia rekordów, który pobiera typ rekordu z żądania i wstawia rekord z wyłączonymi kontrolami uprawnień. Każdy uwierzytelniony użytkownik, nawet bez roli operacyjnej, może podać uprzywilejowany typ rekordu, aby utworzyć uprzywilejowane konta.
- CVE-2026-109666Średnie
Frappe ERPNext przed 15.110.0 oraz 16.x przed 16.21.0 zawiera podatność braku autoryzacji w niektórych endpointach, które nie egzekwują właściwych kontroli uprawnień na rekordach inwentarza.
- CVE-2026-109665Średnie
Frappe ERPNext przed 15.108.0 oraz 16.x przed 16.18.0 zawiera podatność braku autoryzacji w niektórych endpointach, które nie egzekwują właściwych kontroli uprawnień.
Oryginalny opis (angielski, źródło NVD)
Frappe ERPNext before 15.121.0 and 16.x before 16.34.0 contains a missing authorization vulnerability in which certain endpoints fail to enforce proper authorization checks on document status modification. Authenticated low-privileged users can call these endpoints to modify data beyond their permitted role, bypassing intended role-based access restrictions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS