CVE-2026-66059

ŚrednieCVSS 5.3

Opublikowano: 07/08/2026(UTC)Zaktualizowano: 08/08/2026(UTC)Przetłumaczono: 07/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Frappe to framework webowy full-stack. Przed wersjami 16.20.0 i 15.112.0 istniał bypass uprawnień na poziomie pól, który ujawniał ograniczone pola DocType. Problem naprawiono w wersjach 16.23.0 i 15.112.0.

Ocena ryzyka

Ryzyko obejmuje nieautoryzowany dostęp do wrażliwych pól danych, co może prowadzić do naruszenia poufności informacji. Może to również umożliwić eskalację uprawnień.

Rekomendacja

Zaleca się aktualizację do wersji 16.23.0 lub 15.112.0 (lub nowszych) oraz przegląd konfiguracji uprawnień pól. Należy również monitorować logi dostępu pod kątem nietypowych żądań.

Oryginalny opis (angielski, źródło NVD)

Frappe is a full-stack web application framework. Prior to 16.20.0 and 15.112.0, a field-level permissions bypass exposes restricted DocType fields. This issue is fixed in versions 16.23.0 and 15.112.0.