Podatności Frappe CRM

Frappe CRM w wersjach od 1.49.0 do 1.87.0 zawiera podatność braku autoryzacji w crm.api.doc.get_linked_docs_of_document, która pozwala uwierzytelnionym użytkownikom czytać powiązane dokumenty bez sprawdzania uprawnień. Atakujący może wskazać leada, deala, komentarz lub użytkownika, których nie może czytać, aby uzyskać powiązane numery telefonów z dzienników połączeń, organizacje dealów i tekst powiadomień o wzmiankach.

Frappe CRM przed wersją 1.73.0 zawiera podatność obejścia uwierzytelniania poprzez zalogowane klucze zaproszeń w crm/api. Atakujący może wykorzystać te klucze do nieautoryzowanego dostępu.

Frappe CRM to narzędzie open source do zarządzania relacjami z klientami. W wersjach przed 1.56.2 uwierzytelnieni użytkownicy mogli umieszczać spreparowane adresy URL w polu witryny, które nie były sanityzowane, co prowadziło do ataków cross-site scripting. Wersja 1.56.2 naprawia ten problem.