CVE-2026-111937
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Frappe CRM przed wersją 1.81.2 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom Sales uzyskać dostęp do rekordów powiadomień CRM innych użytkowników z powodu braku hooków uprawnień. Atakujący mogą odpytywać endpointy frappe.client z filtrem to_user lub wywołać mark_as_read z argumentem innego użytkownika, aby odczytać, oznaczyć jako przeczytane lub usunąć powiadomienia innych.
Ocena ryzyka
Atakujący może czytać, oznaczać jako przeczytane lub usuwać powiadomienia innych użytkowników, co może prowadzić do wycieku informacji i zakłócenia pracy. Wymaga jedynie uwierzytelnienia jako użytkownik Sales.
Rekomendacja
Zaktualizować Frappe CRM do wersji 1.81.2 lub nowszej. Do czasu poprawki ograniczyć uprawnienia użytkowników Sales i monitorować nietypowe zapytania do endpointów frappe.client.
Inne podatności w Frappe CRM
Zobacz wszystkie- CVE-2026-116492Średnie
Aplikacja Frappe CRM przed wersją 1.89.1 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami czytać rekordy CRM Lead, do których nie mają dostępu, poprzez API get_contact_by_phone_number wykonujące surowe zapytania do bazy bez sprawdzania uprawnień. Atakujący może podać znany numer telefonu, aby uzyskać pełne dane leada.
- CVE-2026-111938Średnie
Frappe CRM przed wersją 1.74.0 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom Sales modyfikować dzienniki połączeń innych użytkowników poprzez podanie dowolnych wartości call_sid. Atakujący mogą wywołać endpointy add_note_to_call_log i add_task_to_call_log, aby dołączyć własne notatki i zadania widoczne w dziennikach połączeń, leadach i szansach sprzedaży ofiar.
- CVE-2026-108734Średnie
Frappe CRM w wersjach od 1.49.0 do 1.87.0 zawiera podatność braku autoryzacji w crm.api.doc.get_linked_docs_of_document, która pozwala uwierzytelnionym użytkownikom czytać powiązane dokumenty bez sprawdzania uprawnień. Atakujący może wskazać leada, deala, komentarz lub użytkownika, których nie może czytać, aby uzyskać powiązane numery telefonów z dzienników połączeń, organizacje dealów i tekst powiadomień o wzmiankach.
- CVE-2026-53761Wysokie
Frappe CRM przed wersją 1.73.0 zawiera podatność obejścia uwierzytelniania poprzez zalogowane klucze zaproszeń w crm/api. Atakujący może wykorzystać te klucze do nieautoryzowanego dostępu.
- CVE-2025-68928Średnie
Frappe CRM to narzędzie open source do zarządzania relacjami z klientami. W wersjach przed 1.56.2 uwierzytelnieni użytkownicy mogli umieszczać spreparowane adresy URL w polu witryny, które nie były sanityzowane, co prowadziło do ataków cross-site scripting. Wersja 1.56.2 naprawia ten problem.
- CVE-2025-11461Wysokie
W kontrolerze pulpitu Frappe CRM występują liczne podatności SQL Injection wynikające z niebezpiecznej konkatenacji parametrów kontrolowanych przez użytkownika do dynamicznych zapytań SQL. Problem dotyczy wersji 1.53.1.
Oryginalny opis (angielski, źródło NVD)
Frappe CRM before 1.81.2 contains a missing authorization vulnerability that allows authenticated Sales Users to access other users' CRM Notification records due to absent permission hooks. Attackers can query frappe.client endpoints filtering on to_user or call mark_as_read with another user argument to read, mark read, or delete others' notifications.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS