Frappe ERPNext: Reflected Cross-Site Scripting führt zur Kontoübernahme
Zusammenfassung
Frappe ERPNext vor 14.92.1 und 15.x vor 15.83.0 enthält eine Reflected Cross-Site Scripting (XSS) Schwachstelle, die durch fehlende Eingabevalidierung auf einer bestimmten Seite entsteht. Ein Angreifer, der einen angemeldeten Benutzer dazu bringt, eine präparierte URL zu öffnen, kann beliebiges JavaScript in der authentifizierten Sitzung des Opfers ausführen und das Konto übernehmen. Es sind keine Berechtigungen nötig, aber eine Benutzerinteraktion ist erforderlich, und der CVSS-4.0-Wert beträgt 8.6 (Hoch).
Betroffen
- Frappe ERPNext Versionen vor 14.92.1
- Frappe ERPNext 15.x Versionen vor 15.83.0
- Versionen 16.x: Unbekannt.
Behoben in
- Frappe ERPNext 14.92.1 (14.x-Zweig)
- Frappe ERPNext 15.83.0 (15.x-Zweig)
Umgehung
Unbekannt. Die GitHub-Sicherheitswarnung hält fest, dass es keine Workarounds gibt und ein Update erforderlich ist.
Ausnutzung
- Nicht als ausgenutzt bekannt. Die Quellen führen die Schwachstelle nicht als aktiv ausgenutzt (KEV: No).
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Für diese CVE wurde kein öffentlicher Proof of Concept gefunden. Ein Eintrag bei VulDB trägt die Kennzeichnung "0-Day", deren Bedeutung unklar ist.
Unsere Empfehlung
- Aktualisieren Sie auf ERPNext 14.92.1 oder 15.83.0 oder auf die neueste gepatchte Version Ihres Zweigs.
- Beschränken Sie den externen Zugriff auf ERPNext, wo immer möglich.
- Weisen Sie Benutzer an, bei angemeldetem Zustand in ERPNext keine unerwarteten Links zu öffnen.
- Prüfen Sie Web-Server- und Anwendungslogs auf ungewöhnliche Anfragen an die betroffene Seite.
- Prüfen Sie, ob Ihre ERPNext-Instanz aus dem Internet erreichbar ist, und priorisieren Sie sie, falls sie unter den korrigierten Versionen liegt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-f74g-9wxg-j83p github.com
- VulnCheck Advisory: Frappe ERPNext before 15.83.0 Reflected XSS www.vulncheck.com
- OSV: CVE-2025-71432 osv.dev
- Strix: CVE-2025-71432 www.strix.ai
- Hol.org Guard: CVE-2025-71432 hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:37.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.