Frappe ERPNext: Gespeichertes Cross-Site Scripting in den Datensatznamen der Tool-Ansicht
Zusammenfassung
ERPNext vor 15.112.0 und 16.x vor 16.23.0 enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle in einer Tool-Ansicht, die gespeicherte Datensatznamen ohne Escaping darstellt. Ein authentifizierter Benutzer, der Datensätze erstellen kann, kann ihnen einen schädlichen Namen geben, sodass Skripte in der Sitzung jedes Benutzers ausgeführt werden, der diese Tool-Ansicht später öffnet. Für den Angriff muss ein Opfer die betroffene Tool-Ansicht öffnen, und die Schwachstelle ist nicht direkt aus dem Internet erreichbar.
Betroffen
- ERPNext-Versionen vor 15.112.0
- ERPNext 16.x ab 16.0.0-beta.1 bis vor 16.23.0
Behoben in
- ERPNext 15.112.0
- ERPNext 16.23.0
Umgehung
- Vom Hersteller ist keine Workaround-Massnahme dokumentiert. Das Aktualisieren ist die dokumentierte Abhilfe.
- Übergangsmassnahme: Die Berechtigung zum Erstellen oder Umbenennen von Datensätzen auf vertrauenswürdige Benutzer beschränken und bestehende Datensatznamen auf HTML- oder Skriptinhalte prüfen.
Ausnutzung
- Laut VulDB ist kein öffentlicher Exploit bekannt.
- CISA SSVC: Exploitation none, Automatable no.
- Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn oder einen Eintrag im CISA KEV gefunden.
Unsere Empfehlung
- Die installierten ERPNext-Versionen auf den Linien 15.x und 16.x prüfen.
- Auf 15.112.0 oder 16.23.0 oder neuer aktualisieren.
- Prüfen, ob die verwandten Schwachstellen CVE-2026-109612 (Report-Ansicht, behoben in 15.120.0 und 16.33.0) und CVE-2026-109662 (nicht authentifizierte XSS im Portal-Formular) eine neuere Version erfordern.
- Bis zur Behebung das Erstellen und Umbenennen von Datensätzen auf vertrauenswürdige Benutzer beschränken.
- Das GitHub-Advisory auf Aktualisierungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-734c-hv9r-mg2c github.com
- VulnCheck advisory: ERPNext stored XSS via tool view record names www.vulncheck.com
- OSV entry CVE-2026-109604 osv.dev
- VulDB entry 417351 vuldb.com
- Strix CVE-2026-109604 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.