CVE-2026-44205
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Frappe to framework aplikacji webowych. Przed wersją 15.106.0 występowała podatność typu XSS, która pozwalała atakującemu na wykonanie złośliwych skryptów w przeglądarkach innych użytkowników poprzez sekcję obrazu profilu użytkownika.
Ocena ryzyka
Podatność ta może prowadzić do kradzieży danych użytkowników oraz przejęcia sesji, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 15.106.0 lub nowszej, aby usunąć tę podatność.
Inne podatności w Frappe framework
Zobacz wszystkie- CVE-2025-67289Krytyczne
Podatność na dowolne przesyłanie plików w module Załączniki Frappe Framework v15.89.0 umożliwia atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku XML.
- CVE-2026-50709Średnie
W Frappe Framework w wersji 17.0.0-dev występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem danych wejściowych kontrolowanych przez użytkownika w panelu Powiadomienia > Wydarzenia.
- CVE-2026-50705Średnie
W frameworku Frappe w wersji 17.0.0-dev występuje podatność typu Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem niezaufanego wejścia w rendererze nagłówka pulpitu formularza.
- CVE-2026-50704Średnie
W Frappe Framework w wersji 17.0.0-dev występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem danych wejściowych kontrolowanych przez użytkownika w rendererze breadcrumb dla widoku plików.
- CVE-2026-50703Średnie
W Frappe Framework w wersji 17.0.0-dev występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem danych wejściowych kontrolowanych przez użytkownika w rendererze ikon pulpitu.
- CVE-2026-50700Średnie
W Frappe Framework w wersji 17.0.0-dev występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem danych wejściowych kontrolowanych przez użytkownika w funkcji frappe.get_avatar.
- CVE-2026-50699Średnie
W Frappe Framework w wersji 17.0.0-dev występuje podatność typu Stored Cross-Site Scripting (XSS). Uwierzytelniony atakujący z dostępem do zapisu w Auto Repeat może wprowadzić HTML/JavaScript w reference_document, co prowadzi do wykonania skryptu po otwarciu formularza Auto Repeat przez użytkowników.
- CVE-2026-50026Średnie
Frappe to framework aplikacji webowych, który przed wersjami 15.107.0 i 16.17.0 miał lukę w zabezpieczeniach związaną z brakiem sprawdzania uprawnień w niektórych punktach końcowych, co umożliwiało nieautoryzowany dostęp do zasobów.
- CVE-2026-47182Średnie
Frappe to framework aplikacji webowych. Przed wersją 16.17.4, każdy uwierzytelniony użytkownik mógł uzyskać dostęp do prywatnych plików, zgadując ścieżkę do pliku. Problem został naprawiony w wersji 16.17.4.
- CVE-2026-44976Średnie
Frappe to pełnostackowy framework aplikacji webowych. Przed wersją 16.17.4 każdy użytkownik mógł modyfikować dowolne pole w każdym rekordzie kroku onboardingu. Problem ten został naprawiony w wersji 16.17.4.
Oryginalny opis (angielski, źródło NVD)
Frappe is a full-stack web application framework. Prior to version 15.106.0, a stored XSS vulnerability in the user profile image section allows an attacker to execute malicious scripts in the browsers of other users. This issue has been patched in version 15.106.0.