CVE-2026-109638
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W Frappe ERPNext przed wersją 15.110.0 oraz w gałęzi 16.x przed 16.21.0 występuje luka SQL injection w niektórych endpointach spowodowana brakiem walidacji danych wejściowych. Uwierzytelnieni atakujący mogą wysyłać specjalnie spreparowane żądania, aby manipulować zapytaniami do bazy danych i wyodrębnić poufne informacje.
Ocena ryzyka
Uwierzytelniony atakujący może manipulować zapytaniami do bazy danych i wydobyć poufne informacje, co prowadzi do naruszenia poufności danych. Ryzyko obejmuje wyciek danych biznesowych i potencjalne dalsze ataki.
Rekomendacja
Zaktualizuj ERPNext do wersji 15.110.0 lub 16.21.0 (lub nowszej). Monitoruj nietypowe zapytania do bazy danych i ogranicz uprawnienia kont użytkowników do niezbędnego minimum.
Inne podatności w Frappe ERPNext
Zobacz wszystkie- CVE-2026-109674Średnie
Frappe ERPNext przed 15.98.0 oraz 16.x przed 16.6.0 zawiera podatność SQL injection w niektórych endpointach spowodowaną brakiem walidacji danych wejściowych.
- CVE-2026-109673Wysokie
Frappe ERPNext przed wersją 15.103.0 oraz 16.x przed 16.12.0 zawiera podatność typu stored XSS, ponieważ nazwy niektórych rekordów nie są prawidłowo neutralizowane podczas renderowania na niektórych pulpitach, narzędziach i portalach. Uwierzytelniony atakujący może tworzyć złośliwe nazwy rekordów, które wykonują skrypty w przeglądarkach innych użytkowników.
- CVE-2026-109672Średnie
Frappe ERPNext przed 15.118.0 oraz 16.x przed 16.27.0 zawiera podatność braku autoryzacji w niektórych endpointach, które nie egzekwują właściwych kontroli uprawnień.
- CVE-2026-109671Wysokie
Frappe ERPNext przed wersją 15.113.0 oraz 16.x przed 16.24.0 zawiera podatność typu stored XSS w polu profilu, które jest renderowane bez escapowania na stronach portalu. Atakujący z niskimi uprawnieniami może zapisać złośliwy skrypt, który wykona się w przeglądarce administratora przeglądającego te strony.
- CVE-2026-109670Średnie
Frappe ERPNext przed 15.110.0 oraz 16.x przed 16.21.0 zawiera podatność trwałego cross-site scripting (stored XSS) spowodowaną renderowaniem nazw rekordów bez escapowania.
- CVE-2026-109669Średnie
Frappe ERPNext przed 15.110.0 oraz 16.x przed 16.21.0 zawiera podatność braku autoryzacji, w której niektóre endpointy nie egzekwują właściwych kontroli uprawnień przy zmianach statusu rekordów.
- CVE-2026-109668Średnie
Frappe ERPNext przed 15.110.0 oraz 16.x przed 16.21.0 zawiera podatność braku autoryzacji w niektórych endpointach obsługujących rekordy stron (party records), pozwalającą uwierzytelnionym użytkownikom modyfikować dane wykraczające poza ich rolę.
- CVE-2026-109667Wysokie
Frappe ERPNext przed wersją 15.111.0 oraz 16.x przed 16.22.0 zawiera podatność typu privilege escalation w punkcie końcowym tworzenia rekordów, który pobiera typ rekordu z żądania i wstawia rekord z wyłączonymi kontrolami uprawnień. Każdy uwierzytelniony użytkownik, nawet bez roli operacyjnej, może podać uprzywilejowany typ rekordu, aby utworzyć uprzywilejowane konta.
- CVE-2026-109666Średnie
Frappe ERPNext przed 15.110.0 oraz 16.x przed 16.21.0 zawiera podatność braku autoryzacji w niektórych endpointach, które nie egzekwują właściwych kontroli uprawnień na rekordach inwentarza.
- CVE-2026-109665Średnie
Frappe ERPNext przed 15.108.0 oraz 16.x przed 16.18.0 zawiera podatność braku autoryzacji w niektórych endpointach, które nie egzekwują właściwych kontroli uprawnień.
Oryginalny opis (angielski, źródło NVD)
Frappe ERPNext before 15.110.0 and 16.x before 16.21.0 contains a SQL injection vulnerability in some endpoints caused by missing input validation. Authenticated attackers can send specially crafted requests to these endpoints to manipulate database queries and extract sensitive information from the database.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS