CVE-2026-111388
ŚrednieCVSS 5.4Streszczenie
Frappe Framework przed wersją 15.120.0 oraz 16.x przed 16.33.0 nie egzekwuje listy dozwolonych adresów IP restrict_ip dla metod uwierzytelniania innych niż sesyjne, takich jak klucz API, OAuth i uwierzytelnianie nagłówkowe. Atakujący z ważnymi poświadczeniami tych typów może zalogować się z adresu IP spoza listy.
Ocena ryzyka
Obejście ograniczeń sieciowych opartych na adresach IP umożliwia dostęp do systemu z nieautoryzowanych lokalizacji. Może to prowadzić do nieuprawnionego dostępu do danych i funkcji aplikacji.
Rekomendacja
Zaktualizować Frappe Framework do wersji 15.120.0 lub 16.33.0 (lub nowszej). Do czasu aktualizacji rozważyć wyłączenie uwierzytelniania API/OAuth z niezaufanych sieci.
Inne podatności w Frappe Framework
Zobacz wszystkie- CVE-2025-67289Krytyczne
Podatność na dowolne przesyłanie plików w module Załączniki Frappe Framework v15.89.0 umożliwia atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku XML.
- CVE-2026-109603Niskie
Frappe Framework w wersjach 15.x przed 15.107.3 oraz 16.x przed 16.17.0 korzysta z podatnej biblioteki pdfkit (CVE-2025-26240) do generowania PDF, co umożliwia SSRF oraz lokalne włączenie plików. Uwierzytelniony atakujący może dostarczyć spreparowaną treść do renderowania PDF, aby zmusić serwer do pobrania zasobów wewnętrznych lub osadzenia lokalnych plików w wygenerowanym PDF.
- CVE-2026-109601Średnie
W Frappe Framework przed wersją 15.117.0 oraz 16.x przed 16.30.0 występuje podatność arbitrary file read w obsłudze atrybutów w HTML wychodzącej poczty e-mail. Atakujący, którzy mogą dostarczyć treść wychodzącej wiadomości e-mail, mogą ustawić wartość atrybutu wskazującą lokalną ścieżkę pliku, aby ujawnić wrażliwe pliki serwera.
- CVE-2026-109600Średnie
W Frappe Framework przed wersją 15.118.0 oraz 16.x przed 16.31.0 system nie sprawdza, czy konto użytkownika jest wyłączone, przed wysłaniem powiadomień e-mail Document Follow. Wyłączony użytkownik, który wcześniej obserwował dokumenty, nadal otrzymuje aktualizacje e-mail o aktywności na tych dokumentach po tym, jak jego dostęp powinien zostać odebrany.
- CVE-2026-109598Średnie
W Frappe Framework przed wersją 15.120.0 oraz 16.x przed 16.33.0 występuje brak kontroli autoryzacji w białej liście endpointu API send_sms, który nie weryfikuje, czy wywołujący ma uprawnienia do wysyłania wiadomości SMS. Użytkownicy bez wymaganych uprawnień mogą wywołać send_sms, aby wysyłać dowolne wiadomości SMS podszywając się pod Firmę.
- CVE-2026-82634Średnie
Wersje deweloperskie Frappe Framework zawierają wadę autoryzacji w punkcie końcowym render_jinja_template, która pozwala użytkownikom z niskimi uprawnieniami na renderowanie dowolnych szablonów Jinja poprzez podanie surowych ciągów szablonów. Atakujący z uprawnieniami do drukowania dowolnego dokumentu mogą wykonywać dowolne zapytania SELECT przeciwko niepowiązanym tabelom, w tym odczytywać hashe haseł z tabeli __Auth.
- CVE-2026-50709Średnie
W Frappe Framework w wersji 17.0.0-dev występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem danych wejściowych kontrolowanych przez użytkownika w panelu Powiadomienia > Wydarzenia.
- CVE-2026-50705Średnie
W frameworku Frappe w wersji 17.0.0-dev występuje podatność typu Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem niezaufanego wejścia w rendererze nagłówka pulpitu formularza.
- CVE-2026-50704Średnie
W Frappe Framework w wersji 17.0.0-dev występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem danych wejściowych kontrolowanych przez użytkownika w rendererze breadcrumb dla widoku plików.
- CVE-2026-50703Średnie
W Frappe Framework w wersji 17.0.0-dev występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem danych wejściowych kontrolowanych przez użytkownika w rendererze ikon pulpitu.
Oryginalny opis (angielski, źródło NVD)
Frappe Framework before 15.120.0 and 16.x before 16.33.0 does not enforce the per-user restrict_ip allowlist for non-session authentication methods, including API key, OAuth, and header-based authentication. Attackers holding valid credentials of these types can authenticate from IP addresses outside the allowlist, defeating the configured network-based access restrictions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS