Frappe ERPNext: SQL-Injection in mehreren Endpunkten ermöglicht Rechteausweitung
Zusammenfassung
Frappe ERPNext in Versionen vor 15.121.0 und 16.x vor 16.34.0 enthält SQL-Injection-Schwachstellen in mehreren Endpunkten, die keine Eingabevalidierung durchführen. Jeder authentifizierte Benutzer, auch ohne zugewiesene Rollen, kann manipulierte Anfragen senden, um sensible Daten anderer Benutzer zu lesen und Rechte auf ein privilegiertes Konto auszuweiten. Es ist keine Benutzerinteraktion nötig, und der Angriff ist über das Netzwerk mit einem gültigen Login möglich.
Betroffen
- ERPNext vor 15.121.0
- ERPNext 16.0.0-beta.1 bis vor 16.34.0
Behoben in
- Upgrade auf ERPNext 15.121.0
- Upgrade auf ERPNext 16.34.0
Umgehung
- Kein Workaround verfügbar; ein Upgrade ist erforderlich.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Nicht im CISA KEV gelistet.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein bestätigter öffentlicher Proof of Concept für diese CVE.
Unsere Empfehlung
- Alle ERPNext/Frappe-Installationen und deren genaue Versionen erfassen, inklusive Docker-Images.
- Prioritär auf 15.121.0 oder 16.34.0 aktualisieren; ein Workaround existiert nicht.
- Benutzerkonten auf unerwartete Rechteänderungen und letzte Anmeldungen prüfen, insbesondere Konten ohne Rollen.
- Internetzugriff auf das ERP einschränken und Zugriffsprotokolle auf ungewöhnliche Abfrage- oder API-Aktivität prüfen.
- Beachten Sie, dass CVE-2026-109634 eine verwandte SQL-Injection ist, die mit denselben Versionen behoben wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-v38v-9h2p-hr8v github.com
- VulnCheck advisory www.vulncheck.com
- OSV CVE-2026-109608 osv.dev
- Strix CVE-2026-109608 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:41.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.