CVE-2026-66001
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Frappe przed wersjami 15.114.0 i 16.26.0 zawiera podatność w przepływie zgody OAuth2, która pozwala atakującemu nakłonić uwierzytelnionego użytkownika do zatwierdzenia grantu OAuth lub ponownego użycia stanu autoryzacji dla niewłaściwego klienta. Wynika to z braku ograniczenia metody approve do POST, braku tokena CSRF i braku sprawdzenia, czy aktywny token OAuth należy do żądającego klienta.
Ocena ryzyka
Atakujący może uzyskać dostęp do danych i wykonywać działania w zakresie przyznanych uprawnień, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj Frappe do wersji 15.114.0 lub 16.26.0, które zawierają poprawki.
Inne podatności w Frappe
Zobacz wszystkie- CVE-2025-68953Wysokie
Frappe, framework do tworzenia aplikacji webowych, zawiera podatność na ataki typu path traversal w wersjach 14.99.5 i starszych oraz 15.0.0 do 15.80.1. Brak odpowiedniej sanityzacji niektórych żądań umożliwia zdalne odczytanie dowolnych plików z serwera. Problem został naprawiony w wersjach 14.99.6 i 15.88.1.
- CVE-2017-1000120Wysokie
W wersjach Frappe do 7.1.27 występuje podatność na wstrzyknięcie SQL w funkcji frappe.share.get_users, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń SQL poprzez parametr fields.
- CVE-2026-39351Krytyczne
Frappe przed wersjami 16.14.0 i 15.104.0 zawiera podatność umożliwiającą nieograniczony dostęp do Doctype przez exploit API.
- CVE-2025-68929Krytyczne
Frappe to framework webowy pełnego stosu. Przed wersjami 14.99.6 i 15.88.1 uwierzytelniony użytkownik z określonymi uprawnieniami mógł zostać nakłoniony do otwarcia specjalnie spreparowanego linku. Może to prowadzić do wykonania złośliwego szablonu na serwerze, co skutkuje zdalnym wykonaniem kodu. Wersje 14.99.6 i 15.88.1 naprawiają ten problem. Nie są dostępne żadne znane obejścia.
- CVE-2026-81731Średnie
Frappe 15.11.0 do 16.32.0 przechowuje i renderuje opis karty obszaru roboczego bez filtrowania XSS. Pole opisu w doctype Workspace Link ma ustawioną flagę ignore_xss_filter, a funkcja _sanitize_content() pomija takie pola, więc wartość jest przechowywana dokładnie tak, jak została przesłana. Następnie jest ona interpolowana do popovera Bootstrap z włączonym html: true, co pozwala użytkownikowi z rolą Workspace Manager na wykonanie dowolnego kodu w sesji innych użytkowników.
- CVE-2026-66003Wysokie
Frappe to pełnostackowy framework aplikacji webowych napisany w Pythonie i JavaScript. Przed wersją 15.115.0, obejście kontroli dostępu w REST API umożliwia użytkownikowi odczyt danych z powiązanych typów dokumentów (Linked DocTypes), do których nie ma uprawnień. Gdy dokument odwołuje się do innego dokumentu przez pole Link, framework nie egzekwuje spójnie uprawnień powiązanego typu dokumentu podczas pobierania rekordu przez REST API, więc uwierzytelniony użytkownik z niskimi uprawnieniami może uzyskać pola z powiązanych rekordów poza swoim zakresem. Problem naprawiono w wersji 15.115.0.
- CVE-2026-66002Średnie
Frappe przed wersjami 15.115.0 i 16.27.0 zawiera podatność w publicznym formularzu webowym request-data oraz klasie PersonalDataDownloadRequest w frappe/website/doctype/personal_data_download_request/personal_data_download_request.py, które zwracają rozróżnialne kształty odpowiedzi dla zarejestrowanych i niezarejestrowanych adresów e-mail, w tym pole user_name i zachowanie trwałości. Zdalny atakujący może porównać odpowiedzi, aby enumerować zarejestrowanych użytkowników.
- CVE-2026-63654Średnie
Frappe w wersji 16.31.0 i wcześniejszych zawiera podatność, w której whitelistowany endpoint frappe.model.workflow.bulk_workflow_approval w frappe/model/workflow.py akceptuje bezpieczne metody HTTP dla zmian stanu zatwierdzeń workflow, ponieważ endpoint nie jest ograniczony do POST. Atakujący może nakłonić uwierzytelnioną przeglądarkę ofiary do przesłania akcji zatwierdzenia z uprawnieniami ofiary. Brak wydanej wersji z poprawką na dzień przeglądu.
- CVE-2026-62315Wysokie
Frappe w wersji 16.31.0 i wcześniejszych zawiera podatność polegającą na pomyleniu typów w funkcji frappe.client.set_value, która sprawdza słownik przekazany przez parametr fieldname pod kątem zabronionych pól, ale przed sparsowaniem go na poszczególne nazwy pól. Uwierzytelniony użytkownik może wykorzystać tę podatność do masowego przypisywania chronionych pól przez endpoint klienta. Brak jest wydanej wersji z poprawką.
- CVE-2026-53569Średnie
Frappe w wersji 16.31.0 i wcześniejszych zawiera podatność w punktach końcowych toggle_like i mark_as_seen, które nie egzekwują uprawnień odczytu przed modyfikacją metadanych _liked_by lub stanu seen notatki. Uwierzytelniony użytkownik może wchodzić w interakcje z dokumentami lub notatkami, których nie może odczytać, ujawniając istnienie zasobów i modyfikując powiązane metadane.
Oryginalny opis (angielski, źródło NVD)
Frappe is a full-stack web application framework. Prior to 15.114.0 and 16.26.0, the approve and authorize functions in frappe/integrations/oauth2.py allow the OAuth2 consent flow to proceed without restricting approve to POST, without a csrf_token in frappe/templates/includes/oauth_confirmation.html, and without scoping an active OAuth token check to the requesting client. An attacker can cause an authenticated user to approve an OAuth grant or reuse authorization state for the wrong client, exposing data and permitting actions within the granted scopes. This issue is fixed in versions 15.114.0 and 16.26.0.