Frappe ERPNext: Gespeicherte Cross-Site-Scripting-Schwachstelle in Report View
Zusammenfassung
Frappe ERPNext vor 15.120.0 und 16.x vor 16.33.0 enthält in einer Report View eine gespeicherte Cross-Site-Scripting-Schwachstelle. Die Ansicht fügt gespeicherte Datensatznamen ohne Escaping in die Seite ein. Ein authentifizierter Benutzer, der Datensätze erstellen kann, kann einen präparierten Namen speichern, der anschliessend im Sitzungskontext jedes Benutzers Skripte ausführt, der den Report später öffnet, auch bei Benutzern mit höheren Rechten.
Betroffen
- ERPNext vor 15.120.0
- ERPNext 16.0.0-beta.1 bis (ausschliesslich) 16.33.0
Behoben in
- ERPNext 15.120.0
- ERPNext 16.33.0
Hinweis: Eine Drittanbieter-Zusammenstellung nennt 15.121.0 und 16.34.0 als Korrektur. Dies ist unbestätigt und widerspricht den Daten von NVD, OSV und dem GitHub-Advisory. Vor der Festlegung einer Zielversion prüfen.
Umgehung
Laut GitHub-Advisory ist kein Workaround verfügbar. Ein Upgrade ist erforderlich.
- Übergangsmassnahme (eigene Analyse, nicht aus einer Herstellerquelle): Einschränken, wer Datensätze erstellen oder umbenennen kann, und kürzlich erstellte Datensatznamen auf Markup oder Skriptinhalte prüfen.
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung gefunden.
- Laut einem Aggregator nicht im CISA KEV gelistet; nicht direkt überprüft.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle ERPNext-Instanzen und deren Versionen (15.x und 16.x) inventarisieren.
- Auf mindestens 15.120.0 oder 16.33.0 aktualisieren und die Zielversion anhand des GitHub-Advisory prüfen.
- Prüfen, welche Rollen Datensätze erstellen können, und Self-Registration sowie Portalzugänge kontrollieren.
- Die gesamte ERPNext-Instanz patchen, da in derselben Veröffentlichung weitere ERPNext-XSS- und Berechtigungsschwachstellen erschienen sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-f99r-gp2w-xghj github.com
- VulnCheck Advisory: Frappe ERPNext before 15.120.0 Stored XSS via Report View www.vulncheck.com
- OSV: CVE-2026-109612 osv.dev
- VulDB: vuln 417350 vuldb.com
- Strix CVE record CVE-2026-109612 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:50.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.