CVE-2026-124443
ŚrednieCVSS 4.3Streszczenie
Frappe Framework przed wersją 15.121.1 oraz 16.x przed 16.35.0 zawiera lukę złamanej kontroli dostępu w zapytaniach listy i raportów File, która nie ogranicza rekordów prywatnych plików do uprawnionych użytkowników. Uwierzytelnieni użytkownicy mogą odpytywać widoki listy File lub raportów, aby uzyskać metadane prywatnych plików, do których nie mają uprawnień.
Ocena ryzyka
Wyciek metadanych prywatnych plików (np. nazw, ścieżek, informacji o właścicielu) może ułatwić dalsze ataki i naruszać poufność danych.
Rekomendacja
Zaktualizuj Frappe Framework do wersji 15.121.1 lub 16.35.0 (lub nowszej). Sprawdź uprawnienia do widoków listy i raportów File oraz przejrzyj logi dostępu.
Inne podatności w Frappe Framework
Zobacz wszystkie- CVE-2025-67289Krytyczne
Podatność na dowolne przesyłanie plików w module Załączniki Frappe Framework v15.89.0 umożliwia atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku XML.
- CVE-2026-119144Wysokie
Frappe Framework w wersjach przed 15.111.0 oraz 16.x przed 16.21.0 zawiera podatność Server-Side Template Injection (SSTI), ponieważ pola wiadomości kontrolowane przez użytkownika są renderowane jako szablony bez neutralizacji. Uwierzytelniony atakujący z typową rolą operacyjną może wstrzyknąć wyrażenia szablonów, które serwer ewaluuje w nieograniczonym kontekście.
- CVE-2026-114664Wysokie
Frappe Framework przed wersją 16.33.0 zawiera podatność blind SQL injection w metodzie frappe.desk.doctype.event.event.get_events, która nie neutralizuje poprawnie danych wejściowych użytkownika przed umieszczeniem ich w zapytaniach SQL. Uwierzytelnieni atakujący mogą wysyłać spreparowane dane do get_events i wnioskować o wynikach zapytań na podstawie zachowania aplikacji, aby wyodrębnić poufne informacje z bazy danych.
- CVE-2026-111388Średnie
Frappe Framework przed wersją 15.120.0 oraz 16.x przed 16.33.0 nie egzekwuje listy dozwolonych adresów IP restrict_ip dla metod uwierzytelniania innych niż sesyjne, takich jak klucz API, OAuth i uwierzytelnianie nagłówkowe. Atakujący z ważnymi poświadczeniami tych typów może zalogować się z adresu IP spoza listy.
- CVE-2026-109603Niskie
Frappe Framework w wersjach 15.x przed 15.107.3 oraz 16.x przed 16.17.0 korzysta z podatnej biblioteki pdfkit (CVE-2025-26240) do generowania PDF, co umożliwia SSRF oraz lokalne włączenie plików. Uwierzytelniony atakujący może dostarczyć spreparowaną treść do renderowania PDF, aby zmusić serwer do pobrania zasobów wewnętrznych lub osadzenia lokalnych plików w wygenerowanym PDF.
- CVE-2026-109601Wysokie
W Frappe Framework przed wersją 15.117.0 oraz 16.x przed 16.30.0 występuje podatność arbitrary file read w obsłudze atrybutów w HTML wychodzącej poczty e-mail. Atakujący, którzy mogą dostarczyć treść wychodzącej wiadomości e-mail, mogą ustawić wartość atrybutu wskazującą lokalną ścieżkę pliku, aby ujawnić wrażliwe pliki serwera.
- CVE-2026-109600Średnie
W Frappe Framework przed wersją 15.118.0 oraz 16.x przed 16.31.0 system nie sprawdza, czy konto użytkownika jest wyłączone, przed wysłaniem powiadomień e-mail Document Follow. Wyłączony użytkownik, który wcześniej obserwował dokumenty, nadal otrzymuje aktualizacje e-mail o aktywności na tych dokumentach po tym, jak jego dostęp powinien zostać odebrany.
- CVE-2026-109598Średnie
W Frappe Framework przed wersją 15.120.0 oraz 16.x przed 16.33.0 występuje brak kontroli autoryzacji w białej liście endpointu API send_sms, który nie weryfikuje, czy wywołujący ma uprawnienia do wysyłania wiadomości SMS. Użytkownicy bez wymaganych uprawnień mogą wywołać send_sms, aby wysyłać dowolne wiadomości SMS podszywając się pod Firmę.
- CVE-2026-82634Średnie
Wersje deweloperskie Frappe Framework zawierają wadę autoryzacji w punkcie końcowym render_jinja_template, która pozwala użytkownikom z niskimi uprawnieniami na renderowanie dowolnych szablonów Jinja poprzez podanie surowych ciągów szablonów. Atakujący z uprawnieniami do drukowania dowolnego dokumentu mogą wykonywać dowolne zapytania SELECT przeciwko niepowiązanym tabelom, w tym odczytywać hashe haseł z tabeli __Auth.
- CVE-2026-50709Średnie
W Frappe Framework w wersji 17.0.0-dev występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem danych wejściowych kontrolowanych przez użytkownika w panelu Powiadomienia > Wydarzenia.
Oryginalny opis (angielski, źródło NVD)
Frappe Framework before 15.121.1 and 16.x before 16.35.0 contains a broken access control vulnerability in File list and report queries that fails to restrict private file records to authorized users. Authenticated users can query File list or report views to obtain metadata of private files they are not permitted to access.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS