Katalog podatności CVE

Frappe ERPNext przed wersją 15.120.0 oraz 16.x przed 16.23.0 zawiera obejście autoryzacji w punkcie końcowym, który honoruje dostarczony przez wywołującego flagę wyłączającą własne egzekwowanie uprawnień. Uwierzytelnieni atakujący mogą ustawić tę flagę podczas wywoływania punktu, aby pominąć kontrole uprawnień i odczytać rekordy stron wykraczające poza ich dozwoloną rolę.

Frappe ERPNext przed wersją 15.121.0 oraz 16.x przed 16.34.0 zawiera podatność typu missing authorization w niektórych punktach końcowych, które nie wymuszają właściwych kontroli autoryzacji podczas tworzenia dokumentów. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą wysyłać żądania do tych punktów końcowych, aby tworzyć dokumenty w kontekście rekordów poza swoją rolą, omijając ograniczenia oparte na rolach.

Frappe ERPNext przed wersją 15.121.3 oraz 16.x przed 16.35.0 zawiera podatność typu missing authorization, w której niektóre punkty końcowe nie wymuszają właściwych kontroli autoryzacji. Uwierzytelnieni użytkownicy mogą wysyłać żądania do tych punktów końcowych, aby modyfikować dane poza zakresem dozwolonym przez ich rolę.

W Frappe ERPNext przed wersją 15.121.0 oraz 16.x przed 16.34.0 występuje brak kontroli autoryzacji w niektórych endpointach, które nie egzekwują sprawdzania uprawnień podczas tworzenia dokumentów. Uwierzytelnieni użytkownicy o niskich uprawnieniach mogą wywołać te endpointy, aby tworzyć dokumenty w rekordach poza zakresem ich roli, omijając kontrolę dostępu opartą na rolach.

W Frappe ERPNext przed wersją 16.34.0 występuje brak kontroli autoryzacji, który pozwala uwierzytelnionym użytkownikom odczytywać dane finansowe poza zakresem ich roli. Atakujący mogą odpytywać endpointy pozbawione właściwych sprawdzeń autoryzacji, aby uzyskać dostęp do wrażliwych rekordów finansowych, których nie powinni widzieć.

W Frappe ERPNext przed wersją 15.121.0 oraz w gałęzi 16.x przed 16.34.0 występuje luka braku autoryzacji. Niektóre endpointy nie egzekwują poprawnych kontroli dostępu przy modyfikacji statusu dokumentów, co pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach modyfikować dane poza przysługującą im rolą.

W Frappe ERPNext przed wersją 15.120.0 oraz w gałęzi 16.x przed 16.33.0 występuje luka trwałego skryptu krzyżowego (stored XSS) w widoku raportu. Nazwy rekordów są wstawiane do znaczników bez escapowania, więc uwierzytelniony użytkownik mogący tworzyć rekordy może zapisać złośliwą nazwę, która wykona skrypt w sesji każdego, kto otworzy raport.

W Frappe ERPNext przed wersją 15.121.0 oraz 16.x przed 16.34.0 występuje brak kontroli autoryzacji w niektórych endpointach, które nie egzekwują właściwych sprawdzeń uprawnień. Uwierzytelnieni użytkownicy mogą wywołać te endpointy, aby modyfikować dane poza zakresem przypisanej im roli.

W Frappe ERPNext przed wersją 15.119.1 oraz 16.x przed 16.32.0 występuje brak kontroli autoryzacji, ponieważ niektóre endpointy nie egzekwują właściwych sprawdzeń uprawnień. Uwierzytelnieni użytkownicy o niskich uprawnieniach mogą wywołać te endpointy, aby modyfikować dokumenty i dane poza zakresem przypisanej im roli.

W Frappe ERPNext przed wersją 15.119.1 oraz 16.x przed 16.32.0 występuje podatność SQL injection w niektórych endpointach, które nie walidują danych wejściowych. Uwierzytelnieni atakujący o niskich uprawnieniach mogą wysyłać specjalnie spreparowane żądania do tych endpointów, aby wstrzyknąć SQL i wyodrębnić wrażliwe informacje z bazy danych ERPNext.

W Frappe ERPNext przed wersją 15.121.0 oraz w gałęzi 16.x przed 16.34.0 występuje luka wstrzyknięcia SQL w kilku endpointach pozbawionych walidacji danych wejściowych. Każdy uwierzytelniony użytkownik, nawet bez przypisanych ról, może wysłać spreparowane żądania, aby odczytać dane innych użytkowników i eskalować do uprzywilejowanego konta.

W Frappe ERPNext przed wersją 15.112.0 oraz w gałęzi 16.x przed 16.23.0 występuje luka trwałego skryptu krzyżowego (stored XSS), ponieważ widok narzędzia wstawia nazwy rekordów do znaczników bez escapowania. Uwierzytelniony użytkownik mogący tworzyć takie rekordy może nadać im złośliwe nazwy, które wykonają skrypt w sesji każdego, kto otworzy narzędzie.

Frappe Framework w wersjach 15.x przed 15.107.3 oraz 16.x przed 16.17.0 korzysta z podatnej biblioteki pdfkit (CVE-2025-26240) do generowania PDF, co umożliwia SSRF oraz lokalne włączenie plików. Uwierzytelniony atakujący może dostarczyć spreparowaną treść do renderowania PDF, aby zmusić serwer do pobrania zasobów wewnętrznych lub osadzenia lokalnych plików w wygenerowanym PDF.

W Frappe przed wersją 15.118.0 oraz 16.x przed 16.31.0 występuje podatność stored cross-site scripting w filtrach wykresów dashboardu, ponieważ jQuery renderuje wprowadzone wartości filtrów jako rich text. Uwierzytelnieni atakujący mogą zapisać złośliwe wartości filtrów, które wykonują skrypty w przeglądarkach użytkowników przeglądających wykres dashboardu.

W Frappe Framework przed wersją 15.117.0 oraz 16.x przed 16.30.0 występuje podatność arbitrary file read w obsłudze atrybutów w HTML wychodzącej poczty e-mail. Atakujący, którzy mogą dostarczyć treść wychodzącej wiadomości e-mail, mogą ustawić wartość atrybutu wskazującą lokalną ścieżkę pliku, aby ujawnić wrażliwe pliki serwera.

W Frappe Framework przed wersją 15.118.0 oraz 16.x przed 16.31.0 system nie sprawdza, czy konto użytkownika jest wyłączone, przed wysłaniem powiadomień e-mail Document Follow. Wyłączony użytkownik, który wcześniej obserwował dokumenty, nadal otrzymuje aktualizacje e-mail o aktywności na tych dokumentach po tym, jak jego dostęp powinien zostać odebrany.

W Frappe przed wersją 15.113.3 oraz 16.x przed 16.25.0 występuje brak kontroli autoryzacji, w którym niektóre endpointy nie egzekwują właściwych sprawdzeń uprawnień. Uwierzytelnieni użytkownicy mogą wysyłać żądania do tych endpointów, aby modyfikować rekordy poza zakresem przypisanej im roli.

W Frappe Framework przed wersją 15.120.0 oraz 16.x przed 16.33.0 występuje brak kontroli autoryzacji w białej liście endpointu API send_sms, który nie weryfikuje, czy wywołujący ma uprawnienia do wysyłania wiadomości SMS. Użytkownicy bez wymaganych uprawnień mogą wywołać send_sms, aby wysyłać dowolne wiadomości SMS podszywając się pod Firmę.

Hugo od wersji 0.60.0 do 0.167.0 zawiera podatność na trwały cross-site scripting (XSS), która pozwala autorom treści Markdown na wstrzyknięcie HTML przez spreparowane identyfikatory nagłówków. Atakujący mogą wydostać się z nieescapowanego atrybutu href w .TableOfContents lub .Fragments.ToHTML, aby wstrzyknąć elementy z obsługą zdarzeń do renderowanych stron.

Hugo od wersji 0.162.0 do 0.167.0 zawiera podatność na nieprawidłowe rozwiązywanie linków, która pozwala złośliwym motywom lub modułom na ujawnienie plików poza ich katalogiem głównym przez katalogi przodków zagnieżdżonych mountów. Atakujący kontrolujący motyw może umieścić dowiązanie symboliczne lub połączenie NTFS w wirtualnym katalogu przodka, powodując, że resources.Match wyświetli i opublikuje lokalne pliki podczas budowania.