CVE-2026-49391

Frappe, framework do tworzenia aplikacji webowych, zawiera podatność na ataki typu path traversal w wersjach 14.99.5 i starszych oraz 15.0.0 do 15.80.1. Brak odpowiedniej sanityzacji niektórych żądań umożliwia zdalne odczytanie dowolnych plików z serwera. Problem został naprawiony w wersjach 14.99.6 i 15.88.1.

W wersjach Frappe do 7.1.27 występuje podatność na wstrzyknięcie SQL w funkcji frappe.share.get_users, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń SQL poprzez parametr fields.

Frappe przed wersjami 16.14.0 i 15.104.0 zawiera podatność umożliwiającą nieograniczony dostęp do Doctype przez exploit API.

Frappe to framework webowy pełnego stosu. Przed wersjami 14.99.6 i 15.88.1 uwierzytelniony użytkownik z określonymi uprawnieniami mógł zostać nakłoniony do otwarcia specjalnie spreparowanego linku. Może to prowadzić do wykonania złośliwego szablonu na serwerze, co skutkuje zdalnym wykonaniem kodu. Wersje 14.99.6 i 15.88.1 naprawiają ten problem. Nie są dostępne żadne znane obejścia.

Frappe 15.11.0 do 16.32.0 przechowuje i renderuje opis karty obszaru roboczego bez filtrowania XSS. Pole opisu w doctype Workspace Link ma ustawioną flagę ignore_xss_filter, a funkcja _sanitize_content() pomija takie pola, więc wartość jest przechowywana dokładnie tak, jak została przesłana. Następnie jest ona interpolowana do popovera Bootstrap z włączonym html: true, co pozwala użytkownikowi z rolą Workspace Manager na wykonanie dowolnego kodu w sesji innych użytkowników.

Frappe to pełnostackowy framework aplikacji webowych napisany w Pythonie i JavaScript. Przed wersją 15.115.0, obejście kontroli dostępu w REST API umożliwia użytkownikowi odczyt danych z powiązanych typów dokumentów (Linked DocTypes), do których nie ma uprawnień. Gdy dokument odwołuje się do innego dokumentu przez pole Link, framework nie egzekwuje spójnie uprawnień powiązanego typu dokumentu podczas pobierania rekordu przez REST API, więc uwierzytelniony użytkownik z niskimi uprawnieniami może uzyskać pola z powiązanych rekordów poza swoim zakresem. Problem naprawiono w wersji 15.115.0.

Frappe przed wersjami 15.115.0 i 16.27.0 zawiera podatność w publicznym formularzu webowym request-data oraz klasie PersonalDataDownloadRequest w frappe/website/doctype/personal_data_download_request/personal_data_download_request.py, które zwracają rozróżnialne kształty odpowiedzi dla zarejestrowanych i niezarejestrowanych adresów e-mail, w tym pole user_name i zachowanie trwałości. Zdalny atakujący może porównać odpowiedzi, aby enumerować zarejestrowanych użytkowników.

Frappe przed wersjami 15.114.0 i 16.26.0 zawiera podatność w przepływie zgody OAuth2, która pozwala atakującemu nakłonić uwierzytelnionego użytkownika do zatwierdzenia grantu OAuth lub ponownego użycia stanu autoryzacji dla niewłaściwego klienta. Wynika to z braku ograniczenia metody approve do POST, braku tokena CSRF i braku sprawdzenia, czy aktywny token OAuth należy do żądającego klienta.

Frappe w wersji 16.31.0 i wcześniejszych zawiera podatność, w której whitelistowany endpoint frappe.model.workflow.bulk_workflow_approval w frappe/model/workflow.py akceptuje bezpieczne metody HTTP dla zmian stanu zatwierdzeń workflow, ponieważ endpoint nie jest ograniczony do POST. Atakujący może nakłonić uwierzytelnioną przeglądarkę ofiary do przesłania akcji zatwierdzenia z uprawnieniami ofiary. Brak wydanej wersji z poprawką na dzień przeglądu.

Frappe w wersji 16.31.0 i wcześniejszych zawiera podatność polegającą na pomyleniu typów w funkcji frappe.client.set_value, która sprawdza słownik przekazany przez parametr fieldname pod kątem zabronionych pól, ale przed sparsowaniem go na poszczególne nazwy pól. Uwierzytelniony użytkownik może wykorzystać tę podatność do masowego przypisywania chronionych pól przez endpoint klienta. Brak jest wydanej wersji z poprawką.