CVE-2026-109657
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Frappe ERPNext 16.x przed wersją 16.27.0 zawiera podatność trwałego skryptowania między witrynami (XSS), która pozwala użytkownikom z prawami edycji na wstrzyknięcie skryptu przez nazwę rekordu renderowaną bez escapowania. Atakujący mogą ustawić złośliwą nazwę rekordu, aby skrypt wykonał się w przeglądarce każdego współpracownika, który otworzy stronę.
Ocena ryzyka
Ryzyko obejmuje wykonanie złośliwego skryptu w przeglądarkach współpracowników, co może prowadzić do kradzieży sesji, przejęcia kont lub innych ataków na użytkowników.
Rekomendacja
Zaleca się aktualizację Frappe ERPNext do wersji 16.27.0 lub nowszej oraz wdrożenie odpowiedniego escapowania nazw rekordów.
Inne podatności w Frappe ERPNext
Zobacz wszystkie- CVE-2026-109674Średnie
Frappe ERPNext przed 15.98.0 oraz 16.x przed 16.6.0 zawiera podatność SQL injection w niektórych endpointach spowodowaną brakiem walidacji danych wejściowych.
- CVE-2026-109673Wysokie
Frappe ERPNext przed wersją 15.103.0 oraz 16.x przed 16.12.0 zawiera podatność typu stored XSS, ponieważ nazwy niektórych rekordów nie są prawidłowo neutralizowane podczas renderowania na niektórych pulpitach, narzędziach i portalach. Uwierzytelniony atakujący może tworzyć złośliwe nazwy rekordów, które wykonują skrypty w przeglądarkach innych użytkowników.
- CVE-2026-109672Średnie
Frappe ERPNext przed 15.118.0 oraz 16.x przed 16.27.0 zawiera podatność braku autoryzacji w niektórych endpointach, które nie egzekwują właściwych kontroli uprawnień.
- CVE-2026-109671Wysokie
Frappe ERPNext przed wersją 15.113.0 oraz 16.x przed 16.24.0 zawiera podatność typu stored XSS w polu profilu, które jest renderowane bez escapowania na stronach portalu. Atakujący z niskimi uprawnieniami może zapisać złośliwy skrypt, który wykona się w przeglądarce administratora przeglądającego te strony.
- CVE-2026-109670Średnie
Frappe ERPNext przed 15.110.0 oraz 16.x przed 16.21.0 zawiera podatność trwałego cross-site scripting (stored XSS) spowodowaną renderowaniem nazw rekordów bez escapowania.
- CVE-2026-109669Średnie
Frappe ERPNext przed 15.110.0 oraz 16.x przed 16.21.0 zawiera podatność braku autoryzacji, w której niektóre endpointy nie egzekwują właściwych kontroli uprawnień przy zmianach statusu rekordów.
- CVE-2026-109668Średnie
Frappe ERPNext przed 15.110.0 oraz 16.x przed 16.21.0 zawiera podatność braku autoryzacji w niektórych endpointach obsługujących rekordy stron (party records), pozwalającą uwierzytelnionym użytkownikom modyfikować dane wykraczające poza ich rolę.
- CVE-2026-109667Wysokie
Frappe ERPNext przed wersją 15.111.0 oraz 16.x przed 16.22.0 zawiera podatność typu privilege escalation w punkcie końcowym tworzenia rekordów, który pobiera typ rekordu z żądania i wstawia rekord z wyłączonymi kontrolami uprawnień. Każdy uwierzytelniony użytkownik, nawet bez roli operacyjnej, może podać uprzywilejowany typ rekordu, aby utworzyć uprzywilejowane konta.
- CVE-2026-109666Średnie
Frappe ERPNext przed 15.110.0 oraz 16.x przed 16.21.0 zawiera podatność braku autoryzacji w niektórych endpointach, które nie egzekwują właściwych kontroli uprawnień na rekordach inwentarza.
- CVE-2026-109665Średnie
Frappe ERPNext przed 15.108.0 oraz 16.x przed 16.18.0 zawiera podatność braku autoryzacji w niektórych endpointach, które nie egzekwują właściwych kontroli uprawnień.
Oryginalny opis (angielski, źródło NVD)
Frappe ERPNext 16.x before 16.27.0 contains a stored cross-site scripting vulnerability that allows users with edit rights to inject script through a record name rendered without escaping. Attackers can set a malicious record name so the script runs in the browser of any colleague who opens the page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS