Podatności Frappe

Frappe, framework do tworzenia aplikacji webowych, zawiera podatność na ataki typu path traversal w wersjach 14.99.5 i starszych oraz 15.0.0 do 15.80.1. Brak odpowiedniej sanityzacji niektórych żądań umożliwia zdalne odczytanie dowolnych plików z serwera. Problem został naprawiony w wersjach 14.99.6 i 15.88.1.

W wersjach Frappe do 7.1.27 występuje podatność na wstrzyknięcie SQL w funkcji frappe.share.get_users, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń SQL poprzez parametr fields.

Frappe przed wersjami 16.14.0 i 15.104.0 zawiera podatność umożliwiającą nieograniczony dostęp do Doctype przez exploit API.

Frappe to framework webowy pełnego stosu. Przed wersjami 14.99.6 i 15.88.1 uwierzytelniony użytkownik z określonymi uprawnieniami mógł zostać nakłoniony do otwarcia specjalnie spreparowanego linku. Może to prowadzić do wykonania złośliwego szablonu na serwerze, co skutkuje zdalnym wykonaniem kodu. Wersje 14.99.6 i 15.88.1 naprawiają ten problem. Nie są dostępne żadne znane obejścia.

Frappe 15.11.0 do 16.32.0 przechowuje i renderuje opis karty obszaru roboczego bez filtrowania XSS. Pole opisu w doctype Workspace Link ma ustawioną flagę ignore_xss_filter, a funkcja _sanitize_content() pomija takie pola, więc wartość jest przechowywana dokładnie tak, jak została przesłana. Następnie jest ona interpolowana do popovera Bootstrap z włączonym html: true, co pozwala użytkownikowi z rolą Workspace Manager na wykonanie dowolnego kodu w sesji innych użytkowników.

Frappe to pełnostackowy framework aplikacji webowych napisany w Pythonie i JavaScript. Przed wersją 15.115.0, obejście kontroli dostępu w REST API umożliwia użytkownikowi odczyt danych z powiązanych typów dokumentów (Linked DocTypes), do których nie ma uprawnień. Gdy dokument odwołuje się do innego dokumentu przez pole Link, framework nie egzekwuje spójnie uprawnień powiązanego typu dokumentu podczas pobierania rekordu przez REST API, więc uwierzytelniony użytkownik z niskimi uprawnieniami może uzyskać pola z powiązanych rekordów poza swoim zakresem. Problem naprawiono w wersji 15.115.0.

Frappe przed wersjami 15.115.0 i 16.27.0 zawiera podatność w publicznym formularzu webowym request-data oraz klasie PersonalDataDownloadRequest w frappe/website/doctype/personal_data_download_request/personal_data_download_request.py, które zwracają rozróżnialne kształty odpowiedzi dla zarejestrowanych i niezarejestrowanych adresów e-mail, w tym pole user_name i zachowanie trwałości. Zdalny atakujący może porównać odpowiedzi, aby enumerować zarejestrowanych użytkowników.

Frappe przed wersjami 15.114.0 i 16.26.0 zawiera podatność w przepływie zgody OAuth2, która pozwala atakującemu nakłonić uwierzytelnionego użytkownika do zatwierdzenia grantu OAuth lub ponownego użycia stanu autoryzacji dla niewłaściwego klienta. Wynika to z braku ograniczenia metody approve do POST, braku tokena CSRF i braku sprawdzenia, czy aktywny token OAuth należy do żądającego klienta.

Frappe w wersji 16.31.0 i wcześniejszych zawiera podatność, w której whitelistowany endpoint frappe.model.workflow.bulk_workflow_approval w frappe/model/workflow.py akceptuje bezpieczne metody HTTP dla zmian stanu zatwierdzeń workflow, ponieważ endpoint nie jest ograniczony do POST. Atakujący może nakłonić uwierzytelnioną przeglądarkę ofiary do przesłania akcji zatwierdzenia z uprawnieniami ofiary. Brak wydanej wersji z poprawką na dzień przeglądu.

Frappe w wersji 16.31.0 i wcześniejszych zawiera podatność polegającą na pomyleniu typów w funkcji frappe.client.set_value, która sprawdza słownik przekazany przez parametr fieldname pod kątem zabronionych pól, ale przed sparsowaniem go na poszczególne nazwy pól. Uwierzytelniony użytkownik może wykorzystać tę podatność do masowego przypisywania chronionych pól przez endpoint klienta. Brak jest wydanej wersji z poprawką.

Frappe w wersji 16.31.0 i wcześniejszych zawiera podatność w punktach końcowych toggle_like i mark_as_seen, które nie egzekwują uprawnień odczytu przed modyfikacją metadanych _liked_by lub stanu seen notatki. Uwierzytelniony użytkownik może wchodzić w interakcje z dokumentami lub notatkami, których nie może odczytać, ujawniając istnienie zasobów i modyfikując powiązane metadane.

Frappe to framework aplikacji webowych full-stack. Przed wersjami 16.23.0 i 15.112.0 generowanie powiadomień Document Follow nie przelicza ponownie bieżących uprawnień odbiorcy, co pozwala użytkownikom z cofniętym lub ograniczonym dostępem nadal otrzymywać dane dokumentów e-mailem.

We frameworku Frappe przed wersjami 16.20.0 i 15.112.0 uwierzytelniony użytkownik może uzyskać nieograniczony dostęp do API Document Follow (update_follow).

Frappe to framework webowy full-stack. Przed wersjami 16.20.0 i 15.112.0 istniał bypass uprawnień na poziomie pól, który ujawniał ograniczone pola DocType. Problem naprawiono w wersjach 16.23.0 i 15.112.0.

Frappe to pełnostackowy framework aplikacji webowych. Przed wersjami 16.19.0 i 15.109.0 Data Import nie escapuje importowanych nagłówków kolumn przed renderowaniem podglądów i wyników, co pozwala uwierzytelnionemu importerowi na utrwalenie treści skryptów, które wykonują się, gdy inny użytkownik przegląda interfejs importu. Problem naprawiono w wersjach 16.19.0 i 15.109.0.

Frappe przed wersjami 15.110.0 i 16.20.0, endpointy `restore` i `bulk_restore` nie stosują odpowiednich kontroli uprawnień dokumentów, co pozwala uwierzytelnionemu użytkownikowi na przywracanie usuniętych dokumentów bez wymaganej autoryzacji.

Frappe przed wersjami 15.108.0 i 16.18.3, generowanie tymczasowych magicznych linków logowania może używać kontrolowanego przez atakującego nagłówka Host żądania, co pozwala zdalnemu atakującemu na spowodowanie, że linki logowania wysyłane e-mailem wskazują na domenę kontrolowaną przez atakującego i przechwycenie tokena logowania, gdy odbiorca kliknie link.

Przed wersją 16.18.0 API Workspace Save akceptuje kontrolowany identyfikator obszaru roboczego od dowolnego uwierzytelnionego użytkownika bez egzekwowania własności obszaru roboczego, co pozwala na modyfikację prywatnego obszaru roboczego innego użytkownika i trwałe wstrzyknięcie skryptu. Problem naprawiono w wersji 16.18.0.

W frameworku Frappe przed wersjami 16.16.0 i 15.106.0 endpoint reset_password umożliwiał enumerację użytkowników. Atakujący mógł sprawdzić, czy dany adres email istnieje w systemie.

W frameworku Frappe przed wersjami 16.23.0 i 15.112.0 wykryto podatność TarSlip RCE podczas importu pakietów. Brak wystarczającego sprawdzania członków archiwum tar przed ekstrakcją umożliwiał zdalne wykonanie kodu.

W systemie Frappe przed wersją 16.19.0 stwierdzono podatność na pominięcie autoryzacji w punkcie końcowym update_page w obszarze Workspace. Publiczne obszary robocze nie przechodziły wymaganej kontroli edycji przez menedżera obszaru roboczego.

W frameworku Frappe przed wersjami 16.20.0 i 15.110.0 użytkownicy bez uprawnień do zapisu mogli dołączać pliki do dowolnego typu dokumentu za pomocą punktów końcowych API do obsługi plików, takich jak add_attachments. Luka została naprawiona w wersjach 16.20.0 i 15.110.0.

W frameworku Frappe przed wersjami 15.107.5 i 16.18.2 brakowało odpowiednich kontroli uprawnień w punkcie końcowym reportview. Luka ta została załatana w wymienionych wersjach.

Framework Frappe przed wersjami 16.18.3 i 15.108.0 zawierał podatność w funkcji check_safe_sql_query, która zezwalała na zapytania SELECT INTO OUTFILE. Może to być wykorzystane na samodzielnie hostowanych stronach, jeśli uprawnienia bazy danych są nieprawidłowo skonfigurowane i dostępne są przywileje MySQL FILE.

Podatność typu path traversal w frameworku Frappe umożliwia nieautoryzowany dostęp do plików kopii zapasowych poprzez funkcję download_backups. Problem występuje w wersjach przed 16.19.0 i 15.109.0 z powodu braku odpowiedniego zabezpieczenia ścieżek.

W frameworku Frappe przed wersją 16.18.3 wykryto podatność na path traversal i lokalne dołączanie plików poprzez bezpieczny dostęp do lokalnych zasobów w generatorze PDF Chrome.

W frameworku Frappe przed wersjami 15.105.0 i 16.15.0 wykryto podatność na odczyt dowolnych plików poprzez ścieżkę traversal. Podatność umożliwia atakującemu odczytanie plików poza dozwolonym katalogiem.

Frappe, framework webowy, w wersjach 14.96.9 i starszych oraz 15.0.0 do 15.71.0 ma niebezpieczny parametr endpointu podatny na SQL injection oparty na błędach z powodu braku walidacji. Można uzyskać wrażliwe informacje, takie jak wersjonowanie. Poprawka w wersjach 14.96.10 i 15.72.0.