CVE-2026-62315
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Frappe w wersji 16.31.0 i wcześniejszych zawiera podatność polegającą na pomyleniu typów w funkcji frappe.client.set_value, która sprawdza słownik przekazany przez parametr fieldname pod kątem zabronionych pól, ale przed sparsowaniem go na poszczególne nazwy pól. Uwierzytelniony użytkownik może wykorzystać tę podatność do masowego przypisywania chronionych pól przez endpoint klienta. Brak jest wydanej wersji z poprawką.
Ocena ryzyka
Uwierzytelniony użytkownik może modyfikować chronione pola, co może prowadzić do eskalacji uprawnień lub naruszenia integralności danych.
Rekomendacja
Monitoruj komunikaty producenta i zastosuj poprawkę, gdy będzie dostępna; tymczasowo ogranicz dostęp do endpointu klienta dla nieautoryzowanych użytkowników.
Inne podatności w Frappe
Zobacz wszystkie- CVE-2026-66057Średnie
Frappe to framework aplikacji webowych full-stack. W wersjach przed 15.116.0 i 16.29.0 przepływ logowania OAuth używa niesanityzowanego parametru state kontrolowanego przez klienta do wyboru nawigacji po uwierzytelnieniu, co pozwala spreparowanej wartości state przekierować użytkownika do lokalizacji wybranej przez atakującego. Problem naprawiono w wersjach 15.116.0 i 16.29.0.
- CVE-2026-55823Wysokie
Frappe to pełnostackowy framework aplikacji webowych. Przed wersją 16.23.0, metoda get_count() w reportview składa operację zliczania wokół wygenerowanego SQL przez surową ścieżkę wykonania bazy danych, co pozwala na modyfikację wykonywanego SQL przez spreparowane dane wejściowe raportu.
- CVE-2025-68953Wysokie
Frappe, framework do tworzenia aplikacji webowych, zawiera podatność na ataki typu path traversal w wersjach 14.99.5 i starszych oraz 15.0.0 do 15.80.1. Brak odpowiedniej sanityzacji niektórych żądań umożliwia zdalne odczytanie dowolnych plików z serwera. Problem został naprawiony w wersjach 14.99.6 i 15.88.1.
- CVE-2017-1000120Wysokie
W wersjach Frappe do 7.1.27 występuje podatność na wstrzyknięcie SQL w funkcji frappe.share.get_users, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń SQL poprzez parametr fields.
- CVE-2026-39351Krytyczne
Frappe przed wersjami 16.14.0 i 15.104.0 zawiera podatność umożliwiającą nieograniczony dostęp do Doctype przez exploit API.
- CVE-2025-68929Krytyczne
Frappe to framework webowy pełnego stosu. Przed wersjami 14.99.6 i 15.88.1 uwierzytelniony użytkownik z określonymi uprawnieniami mógł zostać nakłoniony do otwarcia specjalnie spreparowanego linku. Może to prowadzić do wykonania złośliwego szablonu na serwerze, co skutkuje zdalnym wykonaniem kodu. Wersje 14.99.6 i 15.88.1 naprawiają ten problem. Nie są dostępne żadne znane obejścia.
- CVE-2026-109602Średnie
W Frappe przed wersją 15.118.0 oraz 16.x przed 16.31.0 występuje podatność stored cross-site scripting w filtrach wykresów dashboardu, ponieważ jQuery renderuje wprowadzone wartości filtrów jako rich text. Uwierzytelnieni atakujący mogą zapisać złośliwe wartości filtrów, które wykonują skrypty w przeglądarkach użytkowników przeglądających wykres dashboardu.
- CVE-2026-109599Średnie
W Frappe przed wersją 15.113.3 oraz 16.x przed 16.25.0 występuje brak kontroli autoryzacji, w którym niektóre endpointy nie egzekwują właściwych sprawdzeń uprawnień. Uwierzytelnieni użytkownicy mogą wysyłać żądania do tych endpointów, aby modyfikować rekordy poza zakresem przypisanej im roli.
- CVE-2025-71431Średnie
Frappe przed wersją 14.99.2 i 15.x przed 15.86.0 zawiera podatność na wstrzykiwanie LDAP, ponieważ niektóre punkty końcowe nie sanityzują parametrów dostarczanych przez użytkownika przed użyciem ich w zapytaniach LDAP. Atakujący mogą dostarczyć spreparowaną składnię filtra LDAP przez te parametry, aby zmienić wynikowe zapytania do katalogu.
- CVE-2025-71430Średnie
Frappe przed wersją 14.99.10 i 15.x przed 15.91.1 zawiera podatność na trwały cross-site scripting (XSS) na stronie leaderboard, ponieważ nazwy użytkowników są renderowane bez odpowiedniej neutralizacji. Uwierzytelnieni atakujący mogą ustawić spreparowaną nazwę użytkownika, która wykonuje dowolny JavaScript w przeglądarkach innych użytkowników przeglądających leaderboard.
Oryginalny opis (angielski, źródło NVD)
Frappe is a full-stack web application framework. In version 16.31.0 and earlier, frappe.client.set_value in frappe/client.py checks a dictionary supplied through the fieldname parameter against forbidden standard and child-table fields before parsing the dictionary into individual field names. An authenticated caller can exploit this type confusion to mass-assign protected fields through the client endpoint. No released fixed version is available as of this review.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS