Frappe Framework in Versionen vor 15.121.0 und 16.x vor 16.34.0 prüft bei bestimmten Datei-Uploads den Zielpfad nicht. Ein authentifizierter Benutzer kann dadurch Dateien ausserhalb des vorgesehenen Speicherverzeichnisses schreiben, was zu Remote Code Execution auf dem Server führen kann. Der CVSS-4.0-Wert beträgt 9.4 (Critical). Hersteller und CNA stufen die Schwachstelle als kritisch ein, während VulDB einen deutlich tieferen Basiswert von 6.3 angibt. Öffentlich erreichbare Instanzen oder Instanzen mit vielen Benutzerkonten, einschliesslich Selbstregistrierung, sind am stärksten gefährdet.
Frappe · Frappe Framework
Frappe Framework in Versionen vor 15.111.0 und 16.x vor 16.21.0 rendert benutzergesteuerte Nachrichtenfelder ohne Neutralisierung als Templates. Ein authentifizierter Benutzer mit einer üblichen Betriebsrolle kann Template-Ausdrücke einschleusen, die der Server in einem uneingeschränkten Kontext auswertet. Eine erfolgreiche Ausnutzung kann zur Codeausführung auf dem Server führen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit, wobei das genaue Ausmass vom Hersteller nicht bestätigt ist.
Frappe · Frappe Framework
Frappe HRMS, ein Open-Source-System für das Personalmanagement, enthält in einigen Endpunkten eine SQL-Injection-Schwachstelle aufgrund fehlender Eingabevalidierung (CVSS 4.0: 8.3). Jeder authentifizierte Benutzer, auch mit einem Konto mit geringen Berechtigungen, kann manipulierte Anfragen senden und so sensible Informationen aus der Datenbank extrahieren, potenziell einschliesslich persönlicher Daten und Lohndaten. Für die Ausnutzung ist ein gültiges Login nötig, aber keine Benutzerinteraktion.
Frappe · HRMS
Die Methode get_count() in der Komponente reportview von Frappe, einem Full-Stack-Webframework, das unter anderem für Anwendungen wie ERPNext verwendet wird, erstellt eine Zählabfrage aus generiertem SQL und führt sie über einen direkten Datenbankaufruf aus. Manipulierte Report-Eingaben können das vom System ausgeführte SQL verändern. Ein authentifizierter Benutzer mit niedrigen Berechtigungen kann Datenbankinhalte wie Kunden-, Rechnungs- oder HR-Daten lesen und unter Umständen verändern; die Auswirkung auf die Verfügbarkeit wird als gering eingestuft.
Frappe · Frappe
Frappe ERPNext vor 15.103.0 und 16.x vor 16.12.0 enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS) (CVE-2026-109673). Datensatznamen werden auf einigen Dashboards, Tools und Portalen nicht korrekt neutralisiert. Ein authentifizierter Angreifer kann durch einen manipulierten Datensatznamen Skripte im Browser anderer Benutzer ausführen lassen, was Datenzugriff, Datenänderungen und Token-Diebstahl ermöglichen kann, insbesondere gegenüber privilegierten Benutzern.
Frappe · ERPNext
Frappe ERPNext gibt ein Profilfeld auf Portalseiten ohne Escaping aus. Ein Benutzer mit niedrigen Berechtigungen kann darin bösartigen Script-Code speichern, der im Browser jedes Administrators ausgeführt wird, der diese Seiten aufruft. Laut Herstellerhinweis genügt dies für die Übernahme des Administratorkontos und damit des ERP-Systems. Eine Interaktion des Administrators ist erforderlich.
Frappe · ERPNext
Ein Endpunkt in Frappe ERPNext übernimmt den Datensatztyp aus der Anfrage und fügt den Datensatz ohne Berechtigungsprüfung ein. Jeder authentifizierte Benutzer, auch ohne operative Rolle, kann privilegierte Konten erstellen und die volle Kontrolle über die Site übernehmen. Da ERPNext Finanz- und Kundendaten enthält, ist die Auswirkung einer Übernahme hoch. Der Angreifer benötigt lediglich einen gültigen Login, daher hängt die Exponierung davon ab, wer sich anmelden kann, einschliesslich Selbstregistrierung oder Portal-Benutzer.
Frappe · ERPNext
Frappe ERPNext vor 15.119.0 und 16.x vor 16.31.0 enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle in Datensatzfeldern, die ohne Escaping in HTML-Attribute ausgegeben werden. Ein Benutzer mit niedrigen Berechtigungen kann einen schädlichen Payload speichern, der im Browser jedes privilegierten Benutzers ausgeführt wird, der die betroffene Seite öffnet. Dies kann zur Kontoübernahme des privilegierten Benutzers führen, wodurch in ERPNext Finanz- und Personaldaten offengelegt werden können. Für die Ausnutzung ist eine Interaktion des Opfers erforderlich, da dieses die betroffene Seite öffnen muss.
Frappe · ERPNext
Frappe ERPNext in Versionen vor 15.119.1 und 16.x vor 16.32.0 validiert benutzergesteuerte Nachrichtenfelder nicht vor dem Rendern von Templates. Ein authentifizierter Benutzer mit einer üblichen operativen Rolle kann Template-Ausdrücke einschleusen, die in einem uneingeschränkten Kontext ausgeführt werden. Dadurch können beliebige Datenbankdaten gelesen und geschrieben, Dokumente gelöscht, ausgehende Anfragen vom Server gesendet und E-Mails von der Website versendet werden.
Frappe · ERPNext
Frappe ERPNext vor 15.119.1 und 16.x vor 16.32.0 speichert Inhalte, die über eine öffentlich zugängliche Buchungsseite übermittelt werden, ohne Neutralisierung. Ein nicht authentifizierter Angreifer kann präparierte Inhalte übermitteln, die in der Sitzung eines privilegierten Benutzers als roher HTML-Code dargestellt werden und dort Skripte ausführen. Dies kann dazu führen, dass der Angreifer als dieser Benutzer agiert und das Konto übernimmt. Der Angriff setzt voraus, dass ein privilegierter Benutzer den schädlichen Eintrag anzeigt.
Frappe · ERPNext
Frappe ERPNext in Versionen vor 15.121.0 und 16.x vor 16.34.0 enthält SQL-Injection-Schwachstellen in mehreren Endpunkten, die keine Eingabevalidierung durchführen. Jeder authentifizierte Benutzer, auch ohne zugewiesene Rollen, kann manipulierte Anfragen senden, um sensible Daten anderer Benutzer zu lesen und Rechte auf ein privilegiertes Konto auszuweiten. Es ist keine Benutzerinteraktion nötig, und der Angriff ist über das Netzwerk mit einem gültigen Login möglich.
Frappe · ERPNext
ERPNext vor 15.112.0 und 16.x vor 16.23.0 enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle in einer Tool-Ansicht, die gespeicherte Datensatznamen ohne Escaping darstellt. Ein authentifizierter Benutzer, der Datensätze erstellen kann, kann ihnen einen schädlichen Namen geben, sodass Skripte in der Sitzung jedes Benutzers ausgeführt werden, der diese Tool-Ansicht später öffnet. Für den Angriff muss ein Opfer die betroffene Tool-Ansicht öffnen, und die Schwachstelle ist nicht direkt aus dem Internet erreichbar.
Frappe · ERPNext
Frappe ERPNext vor 14.92.1 und 15.x vor 15.83.0 enthält eine Reflected Cross-Site Scripting (XSS) Schwachstelle, die durch fehlende Eingabevalidierung auf einer bestimmten Seite entsteht. Ein Angreifer, der einen angemeldeten Benutzer dazu bringt, eine präparierte URL zu öffnen, kann beliebiges JavaScript in der authentifizierten Sitzung des Opfers ausführen und das Konto übernehmen. Es sind keine Berechtigungen nötig, aber eine Benutzerinteraktion ist erforderlich, und der CVSS-4.0-Wert beträgt 8.6 (Hoch).
Frappe · ERPNext
Frappe Framework in Versionen vor 14.81.4 sowie 15.x vor 15.41.0 enthält einen Fehler in der Berechtigungsverwaltung bei einer bestimmten Dokumentaktion. Ein authentifizierter Benutzer mit der Rolle Website User kann diese Aktion mit weiteren Schritten kombinieren und administrative Rechte als System Manager erlangen. Der Angriff setzt ein gültiges Website-User-Konto voraus, typischerweise ein Portal- oder Kundenkonto; Instanzen ohne solche Benutzer sind weniger gefährdet.
Frappe · Frappe Framework
Frappe-Framework-Versionen vor 13.32.0 verwenden eine schwache Authentifizierung für den Zugriff auf die Druckansicht. Der Schlüssel für die Druckansicht kann aus Daten abgeleitet werden, die andere whitelisted API-Endpunkte preisgeben. Dadurch kann ein Angreifer einen gültigen Schlüssel erzeugen und Dokumente ohne die erforderlichen Berechtigungen einsehen. Der Angriff erfordert Netzwerkzugriff auf die Instanz und hohe Angriffskomplexität, jedoch keine Anmeldung und keine Benutzerinteraktion.
Frappe · Framework
