CVE-2026-63654
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Frappe w wersji 16.31.0 i wcześniejszych zawiera podatność, w której whitelistowany endpoint frappe.model.workflow.bulk_workflow_approval w frappe/model/workflow.py akceptuje bezpieczne metody HTTP dla zmian stanu zatwierdzeń workflow, ponieważ endpoint nie jest ograniczony do POST. Atakujący może nakłonić uwierzytelnioną przeglądarkę ofiary do przesłania akcji zatwierdzenia z uprawnieniami ofiary. Brak wydanej wersji z poprawką na dzień przeglądu.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do nieautoryzowanych zatwierdzeń workflow z uprawnieniami ofiary, co może prowadzić do nieautoryzowanych zmian w systemie.
Rekomendacja
Ogranicz endpoint do metody POST i wdróż dodatkowe zabezpieczenia, takie jak tokeny CSRF. Monitoruj dostępność poprawek od producenta.
Inne podatności w Frappe
Zobacz wszystkie- CVE-2025-68953Wysokie
Frappe, framework do tworzenia aplikacji webowych, zawiera podatność na ataki typu path traversal w wersjach 14.99.5 i starszych oraz 15.0.0 do 15.80.1. Brak odpowiedniej sanityzacji niektórych żądań umożliwia zdalne odczytanie dowolnych plików z serwera. Problem został naprawiony w wersjach 14.99.6 i 15.88.1.
- CVE-2017-1000120Wysokie
W wersjach Frappe do 7.1.27 występuje podatność na wstrzyknięcie SQL w funkcji frappe.share.get_users, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń SQL poprzez parametr fields.
- CVE-2026-39351Krytyczne
Frappe przed wersjami 16.14.0 i 15.104.0 zawiera podatność umożliwiającą nieograniczony dostęp do Doctype przez exploit API.
- CVE-2025-68929Krytyczne
Frappe to framework webowy pełnego stosu. Przed wersjami 14.99.6 i 15.88.1 uwierzytelniony użytkownik z określonymi uprawnieniami mógł zostać nakłoniony do otwarcia specjalnie spreparowanego linku. Może to prowadzić do wykonania złośliwego szablonu na serwerze, co skutkuje zdalnym wykonaniem kodu. Wersje 14.99.6 i 15.88.1 naprawiają ten problem. Nie są dostępne żadne znane obejścia.
- CVE-2026-81731Średnie
Frappe 15.11.0 do 16.32.0 przechowuje i renderuje opis karty obszaru roboczego bez filtrowania XSS. Pole opisu w doctype Workspace Link ma ustawioną flagę ignore_xss_filter, a funkcja _sanitize_content() pomija takie pola, więc wartość jest przechowywana dokładnie tak, jak została przesłana. Następnie jest ona interpolowana do popovera Bootstrap z włączonym html: true, co pozwala użytkownikowi z rolą Workspace Manager na wykonanie dowolnego kodu w sesji innych użytkowników.
- CVE-2026-66003Wysokie
Frappe to pełnostackowy framework aplikacji webowych napisany w Pythonie i JavaScript. Przed wersją 15.115.0, obejście kontroli dostępu w REST API umożliwia użytkownikowi odczyt danych z powiązanych typów dokumentów (Linked DocTypes), do których nie ma uprawnień. Gdy dokument odwołuje się do innego dokumentu przez pole Link, framework nie egzekwuje spójnie uprawnień powiązanego typu dokumentu podczas pobierania rekordu przez REST API, więc uwierzytelniony użytkownik z niskimi uprawnieniami może uzyskać pola z powiązanych rekordów poza swoim zakresem. Problem naprawiono w wersji 15.115.0.
- CVE-2026-66002Średnie
Frappe przed wersjami 15.115.0 i 16.27.0 zawiera podatność w publicznym formularzu webowym request-data oraz klasie PersonalDataDownloadRequest w frappe/website/doctype/personal_data_download_request/personal_data_download_request.py, które zwracają rozróżnialne kształty odpowiedzi dla zarejestrowanych i niezarejestrowanych adresów e-mail, w tym pole user_name i zachowanie trwałości. Zdalny atakujący może porównać odpowiedzi, aby enumerować zarejestrowanych użytkowników.
- CVE-2026-66001Wysokie
Frappe przed wersjami 15.114.0 i 16.26.0 zawiera podatność w przepływie zgody OAuth2, która pozwala atakującemu nakłonić uwierzytelnionego użytkownika do zatwierdzenia grantu OAuth lub ponownego użycia stanu autoryzacji dla niewłaściwego klienta. Wynika to z braku ograniczenia metody approve do POST, braku tokena CSRF i braku sprawdzenia, czy aktywny token OAuth należy do żądającego klienta.
- CVE-2026-62315Wysokie
Frappe w wersji 16.31.0 i wcześniejszych zawiera podatność polegającą na pomyleniu typów w funkcji frappe.client.set_value, która sprawdza słownik przekazany przez parametr fieldname pod kątem zabronionych pól, ale przed sparsowaniem go na poszczególne nazwy pól. Uwierzytelniony użytkownik może wykorzystać tę podatność do masowego przypisywania chronionych pól przez endpoint klienta. Brak jest wydanej wersji z poprawką.
- CVE-2026-53569Średnie
Frappe w wersji 16.31.0 i wcześniejszych zawiera podatność w punktach końcowych toggle_like i mark_as_seen, które nie egzekwują uprawnień odczytu przed modyfikacją metadanych _liked_by lub stanu seen notatki. Uwierzytelniony użytkownik może wchodzić w interakcje z dokumentami lub notatkami, których nie może odczytać, ujawniając istnienie zasobów i modyfikując powiązane metadane.
Oryginalny opis (angielski, źródło NVD)
Frappe is a full-stack web application framework. In version 16.31.0 and earlier, the whitelisted frappe.model.workflow.bulk_workflow_approval endpoint in frappe/model/workflow.py accepts safe HTTP methods for state-changing workflow approvals because the endpoint is not restricted to POST. An attacker can induce an authenticated victim browser to submit an approval action with the victim privileges. No released fixed version is available as of this review.