CVE-2026-115717
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Frappe Builder przed wersją 1.36.1 zawiera podatność SSRF w punkcie API convert_to_webp, który nie stosuje kontroli dostępu has_page_write i wykonuje niechronione żądanie requests.get podążające za przekierowaniami bez ponownej walidacji adresów IP. Użytkownik z niskimi uprawnieniami może wskazać adres wewnętrzny lub użyć DNS rebinding i otwartych przekierowań, aby serwer pobrał zasoby sieci wewnętrznej lub metadane chmury, a odpowiedzi obrazów są zapisywane pod publicznie czytelnym adresem /files/.
Ocena ryzyka
Możliwe jest wydobycie danych z sieci wewnętrznej lub metadanych chmury oraz skanowanie wewnętrznych hostów. Luka wymaga jedynie niskich uprawnień uwierzytelnionego użytkownika.
Rekomendacja
Zaktualizuj Frappe Builder do wersji 1.36.1 lub nowszej.
Inne podatności w Frappe Builder
Zobacz wszystkie- CVE-2026-115720Średnie
Frappe Builder przed wersją 1.36.1 zawiera podatność SSRF w builder/api.py, gdzie funkcja assert_not_private_url() sprawdza tylko początkową nazwę hosta, zanim wywołania requests.get(url) podążą za przekierowaniami bez przypięcia IP. Uwierzytelniony atakujący może wywołać endpoint convert_to_webp (bez dekoratora uprawnień) z URL przekierowującym do wewnętrznych celów, takich jak usługi metadanych chmury, co umożliwia SSRF, skanowanie portów wewnętrznych lub zawieszenie żądania (DoS) z powodu braku limitu czasu.
- CVE-2026-115718Średnie
Frappe Builder w wersjach od 1.33.0 przed 1.36.0 zawiera podatność braku autoryzacji w endpoincie improve_prompt, pozwalającą dowolnej uwierzytelnionej sesji nie-Guest na wywoływanie uzupełnień LLM bez kontroli uprawnień. Atakujący mogą wywołać API improve_prompt, aby wykorzystać zapisany klucz API OpenRouter właściciela witryny przez resolve_api_key, zużywając płatne kredyty LLM i zamieniając witrynę w darmowe proxy LLM.
Oryginalny opis (angielski, źródło NVD)
Frappe Builder versions before 1.36.1 contain a server-side request forgery vulnerability in the convert_to_webp API endpoint, which lacks the has_page_write access control applied to similar asset-ingest handlers and performs an unprotected requests.get call that follows redirects without re-validating resolved IP addresses. A low-privilege authenticated user can supply an image_url pointing to an internal address or use DNS rebinding and open redirects to make the server fetch internal network resources or cloud metadata endpoints, with successful image responses saved to a world-readable /files/ URL enabling data exfiltration or blind probing of internal hosts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS