Frappe ERPNext: Gespeicherte Cross-Site-Scripting-Schwachstelle über öffentliche Buchungsseite
Zusammenfassung
Frappe ERPNext vor 15.119.1 und 16.x vor 16.32.0 speichert Inhalte, die über eine öffentlich zugängliche Buchungsseite übermittelt werden, ohne Neutralisierung. Ein nicht authentifizierter Angreifer kann präparierte Inhalte übermitteln, die in der Sitzung eines privilegierten Benutzers als roher HTML-Code dargestellt werden und dort Skripte ausführen. Dies kann dazu führen, dass der Angreifer als dieser Benutzer agiert und das Konto übernimmt. Der Angriff setzt voraus, dass ein privilegierter Benutzer den schädlichen Eintrag anzeigt.
Betroffen
- Frappe ERPNext vor 15.119.1
- Frappe ERPNext 16.0.0-beta.1 bis vor 16.32.0
Behoben in
- Auf ERPNext 15.119.1 oder neuer aktualisieren
- Auf ERPNext 16.32.0 oder neuer aktualisieren
Umgehung
Vom Hersteller ist kein Workaround verfügbar. Ein Update ist erforderlich.
- Temporäre Option (nicht vom Hersteller): öffentliche Buchungsseite vorübergehend deaktivieren oder einschränken.
- Temporäre Option (nicht vom Hersteller): gespeicherte Buchungseinträge auf Skript- oder HTML-Inhalte prüfen.
Ausnutzung
- Bekannte Ausnutzung: nein, gemäss den geprüften Quellen; der CISA-KEV-Katalog wurde nicht direkt geprüft.
- Öffentlicher Proof of Concept: keiner gefunden; das Fehlen von Hinweisen beweist nicht, dass keiner existiert.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
Unsere Empfehlung
- Prüfen, ob ERPNext 15 oder 16 eingesetzt wird und ob die Buchungsseite aus dem Internet erreichbar ist.
- So rasch wie möglich auf ERPNext 15.119.1 oder 16.32.0 aktualisieren.
- Bis zum Update die öffentliche Buchungsseite einschränken oder deaktivieren.
- Gespeicherte Buchungseinträge auf Skript- oder HTML-Inhalte prüfen und Aktivitäten privilegierter Konten auf Auffälligkeiten untersuchen.
- Die Versionsangaben anhand des GitHub-Advisory verifizieren, da der Advisory-Text nicht vollständig abgerufen werden konnte.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-rv4r-c8v3-3hrc github.com
- VulnCheck Advisory: Frappe ERPNext Stored XSS via Public Booking Page www.vulncheck.com
- OSV: CVE-2026-109633 osv.dev
- Threatint CVE record CVE-2026-109633 cve.threatint.com
- HOL Guard: CVE-2026-109633 hol.org
- Strix: CVE-2026-109633 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:37.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.