CVE-2026-44206
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Frappe to framework aplikacji webowych. Przed wersjami 15.107.2 i 16.17.4 istniała możliwość enumeracji schematu bazy danych poprzez wykorzystanie jednego z punktów końcowych. Problem ten został naprawiony w wersjach 15.107.2 i 16.17.4.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do struktury bazy danych, co może prowadzić do ujawnienia wrażliwych informacji.
Rekomendacja
Zaleca się aktualizację do wersji 15.107.2 lub 16.17.4, aby usunąć tę podatność.
Inne podatności w Frappe Framework
Zobacz wszystkie- CVE-2025-67289Krytyczne
Podatność na dowolne przesyłanie plików w module Załączniki Frappe Framework v15.89.0 umożliwia atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku XML.
- CVE-2026-50709Średnie
W Frappe Framework w wersji 17.0.0-dev występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem danych wejściowych kontrolowanych przez użytkownika w panelu Powiadomienia > Wydarzenia.
- CVE-2026-50705Średnie
W frameworku Frappe w wersji 17.0.0-dev występuje podatność typu Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem niezaufanego wejścia w rendererze nagłówka pulpitu formularza.
- CVE-2026-50704Średnie
W Frappe Framework w wersji 17.0.0-dev występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem danych wejściowych kontrolowanych przez użytkownika w rendererze breadcrumb dla widoku plików.
- CVE-2026-50703Średnie
W Frappe Framework w wersji 17.0.0-dev występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem danych wejściowych kontrolowanych przez użytkownika w rendererze ikon pulpitu.
- CVE-2026-50700Średnie
W Frappe Framework w wersji 17.0.0-dev występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem danych wejściowych kontrolowanych przez użytkownika w funkcji frappe.get_avatar.
- CVE-2026-50699Średnie
W Frappe Framework w wersji 17.0.0-dev występuje podatność typu Stored Cross-Site Scripting (XSS). Uwierzytelniony atakujący z dostępem do zapisu w Auto Repeat może wprowadzić HTML/JavaScript w reference_document, co prowadzi do wykonania skryptu po otwarciu formularza Auto Repeat przez użytkowników.
- CVE-2026-50026Średnie
Frappe to framework aplikacji webowych, który przed wersjami 15.107.0 i 16.17.0 miał lukę w zabezpieczeniach związaną z brakiem sprawdzania uprawnień w niektórych punktach końcowych, co umożliwiało nieautoryzowany dostęp do zasobów.
- CVE-2026-47182Średnie
Frappe to framework aplikacji webowych. Przed wersją 16.17.4, każdy uwierzytelniony użytkownik mógł uzyskać dostęp do prywatnych plików, zgadując ścieżkę do pliku. Problem został naprawiony w wersji 16.17.4.
- CVE-2026-44976Średnie
Frappe to pełnostackowy framework aplikacji webowych. Przed wersją 16.17.4 każdy użytkownik mógł modyfikować dowolne pole w każdym rekordzie kroku onboardingu. Problem ten został naprawiony w wersji 16.17.4.
Oryginalny opis (angielski, źródło NVD)
Frappe is a full-stack web application framework. Prior to versions 15.107.2 and 16.17.4, DB Schema Enumeration is possible through exploiting an endpoint. This issue has been patched in versions 15.107.2 and 16.17.4.