CVE-2026-39385

W Frappe Learning Management System (LMS) w wersjach 2.50.0 i niższych użytkownik z rolą edytora kursu może przesłać spakowany plik SCORM ZIP, aby zapisać pliki poza zamierzonym katalogiem. Podatność naprawiona w wersji 2.50.1.

Frappe Learning Management System (LMS) przed wersją 2.46.0 umożliwia studentom modyfikację wyników quizów przed wysłaniem. Aplikacja polega na obliczeniach po stronie klienta, które można zmienić za pomocą narzędzi deweloperskich przeglądarki, co narusza integralność wyników.

Frappe LMS jest podatny na trwałe ataki XSS (Cross-Site Scripting). Luka występuje w wersjach od 2.27.0 do 2.48.0.

Frappe Learning Management System (LMS) przed wersją 2.42.0 pozwala uwierzytelnionym atakującym na wprowadzenie JavaScript przez pole Company Website w formularzu pracy, narażając użytkowników na atak XSS. Skrypt może być wykonany w przeglądarkach użytkowników, którzy otworzą złośliwą ofertę pracy. Problem naprawiono w wersji 2.42.0.

Frappe Learning Management System (LMS) przed wersją 2.42.0 pozwala uwierzytelnionym użytkownikom na dodawanie złośliwego HTML i JavaScript przez pola opisu w formularzach pracy, kursu i partii. Problem naprawiono w wersji 2.42.0.

Frappe Learning Management System (LMS) przed wersją 2.41.0 ma wadę w logice autoryzacji po stronie serwera, która pozwalała uwierzytelnionym użytkownikom wykonywać działania poza przypisanymi rolami w wielu funkcjach. Ponieważ dotknięte punkty końcowe opierały się na kontrolach po stronie klienta lub na poziomie interfejsu zamiast egzekwować uprawnienia na serwerze, użytkownicy z niskimi rolami (np. studenci) mogli wykonywać operacje przeznaczone tylko dla instruktorów lub administratorów, bezpośrednio korzystając z API. Luka jest naprawiona w wersji 2.41.0.

W Frappe LMS 2.35.0 wykryto podatność w nieznanej funkcji komponentu Course Handler. Manipulacja argumentem Description może prowadzić do cross-site scripting (XSS). Atak może być wykonany zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.

Podatność w Frappe LMS 2.34.x/2.35.0 dotyczy niekompletnej poprawki CVE-2025-55006. Manipulacja nieznaną funkcją prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W Frappe LMS 2.35.0 wykryto podatność w nieznanej funkcji pliku /files/ komponentu Assignment Picture Handler. Manipulacja powoduje bezpośrednie żądanie, które może być zainicjowane zdalnie. Złożoność ataku jest wysoka, a wykorzystanie uznawane za trudne, jednak exploit został publicznie ujawniony i może być użyty.