CVE-2026-34606
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Frappe LMS jest podatny na trwałe ataki XSS (Cross-Site Scripting). Luka występuje w wersjach od 2.27.0 do 2.48.0.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który będzie wykonywany w przeglądarkach innych użytkowników, co może prowadzić do kradzieży sesji lub danych.
Rekomendacja
Zaktualizuj Frappe LMS do wersji 2.48.0, która zawiera poprawkę.
Inne podatności w Frappe LMS
Zobacz wszystkie- CVE-2026-39405Krytyczne
W Frappe Learning Management System (LMS) w wersjach 2.50.0 i niższych użytkownik z rolą edytora kursu może przesłać spakowany plik SCORM ZIP, aby zapisać pliki poza zamierzonym katalogiem. Podatność naprawiona w wersji 2.50.1.
- CVE-2026-39385Wysokie
Frappe LMS w wersji 2.51.0 i wcześniejszych umożliwia użytkownikowi ominięcie walidacji płatności za kursy poprzez użycie niepowiązanego batcha. Luka została załatana w wersji 2.52.0.
- CVE-2026-39415Średnie
Frappe Learning Management System (LMS) przed wersją 2.46.0 umożliwia studentom modyfikację wyników quizów przed wysłaniem. Aplikacja polega na obliczeniach po stronie klienta, które można zmienić za pomocą narzędzi deweloperskich przeglądarki, co narusza integralność wyników.
Oryginalny opis (angielski, źródło NVD)
Frappe Learning Management System (LMS) is a learning system that helps users structure their content. From version 2.27.0 to before version 2.48.0, Frappe LMS was vulnerable to stored XSS. This issue has been patched in version 2.48.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS