CVE-2026-116492
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Aplikacja Frappe CRM przed wersją 1.89.1 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami czytać rekordy CRM Lead, do których nie mają dostępu, poprzez API get_contact_by_phone_number wykonujące surowe zapytania do bazy bez sprawdzania uprawnień. Atakujący może podać znany numer telefonu, aby uzyskać pełne dane leada.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może uzyskać dostęp do wrażliwych danych CRM, które powinny być chronione. Grozi to nieautoryzowanym ujawnieniem informacji biznesowych.
Rekomendacja
Zaktualizuj Frappe CRM do wersji 1.89.1 lub nowszej. Do czasu aktualizacji rozważ ograniczenie dostępu do endpointu get_contact_by_phone_number.
Inne podatności w Frappe CRM
Zobacz wszystkie- CVE-2026-111938Średnie
Frappe CRM przed wersją 1.74.0 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom Sales modyfikować dzienniki połączeń innych użytkowników poprzez podanie dowolnych wartości call_sid. Atakujący mogą wywołać endpointy add_note_to_call_log i add_task_to_call_log, aby dołączyć własne notatki i zadania widoczne w dziennikach połączeń, leadach i szansach sprzedaży ofiar.
- CVE-2026-111937Średnie
Frappe CRM przed wersją 1.81.2 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom Sales uzyskać dostęp do rekordów powiadomień CRM innych użytkowników z powodu braku hooków uprawnień. Atakujący mogą odpytywać endpointy frappe.client z filtrem to_user lub wywołać mark_as_read z argumentem innego użytkownika, aby odczytać, oznaczyć jako przeczytane lub usunąć powiadomienia innych.
- CVE-2026-108734Średnie
Frappe CRM w wersjach od 1.49.0 do 1.87.0 zawiera podatność braku autoryzacji w crm.api.doc.get_linked_docs_of_document, która pozwala uwierzytelnionym użytkownikom czytać powiązane dokumenty bez sprawdzania uprawnień. Atakujący może wskazać leada, deala, komentarz lub użytkownika, których nie może czytać, aby uzyskać powiązane numery telefonów z dzienników połączeń, organizacje dealów i tekst powiadomień o wzmiankach.
- CVE-2026-53761Wysokie
Frappe CRM przed wersją 1.73.0 zawiera podatność obejścia uwierzytelniania poprzez zalogowane klucze zaproszeń w crm/api. Atakujący może wykorzystać te klucze do nieautoryzowanego dostępu.
- CVE-2025-68928Średnie
Frappe CRM to narzędzie open source do zarządzania relacjami z klientami. W wersjach przed 1.56.2 uwierzytelnieni użytkownicy mogli umieszczać spreparowane adresy URL w polu witryny, które nie były sanityzowane, co prowadziło do ataków cross-site scripting. Wersja 1.56.2 naprawia ten problem.
- CVE-2025-11461Wysokie
W kontrolerze pulpitu Frappe CRM występują liczne podatności SQL Injection wynikające z niebezpiecznej konkatenacji parametrów kontrolowanych przez użytkownika do dynamicznych zapytań SQL. Problem dotyczy wersji 1.53.1.
Oryginalny opis (angielski, źródło NVD)
Frappe CRM app before 1.89.1 contains a missing authorization vulnerability that allows authenticated low-privileged users to read CRM Lead records they are not permitted to access by querying the get_contact_by_phone_number API, which performs raw database queries without invoking the permission system. Attackers can supply a known phone number to the crm.integrations.api.get_contact_by_phone_number endpoint to retrieve full lead details otherwise blocked by standard API and UI access controls, resulting in unauthorized disclosure of sensitive CRM data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS