Frappe ERPNext: Server-side Template Injection über Nachrichtenfelder
Zusammenfassung
Frappe ERPNext in Versionen vor 15.119.1 und 16.x vor 16.32.0 validiert benutzergesteuerte Nachrichtenfelder nicht vor dem Rendern von Templates. Ein authentifizierter Benutzer mit einer üblichen operativen Rolle kann Template-Ausdrücke einschleusen, die in einem uneingeschränkten Kontext ausgeführt werden. Dadurch können beliebige Datenbankdaten gelesen und geschrieben, Dokumente gelöscht, ausgehende Anfragen vom Server gesendet und E-Mails von der Website versendet werden.
Betroffen
- ERPNext vor 15.119.1
- ERPNext 16.0.0-beta.1 bis vor 16.32.0
Behoben in
- 15.119.1
- 16.32.0
- Die offizielle Release-Liste auf neuere 16.x-Builds prüfen.
Umgehung
- Laut Hersteller ist kein Workaround verfügbar. Ein Update ist erforderlich.
- Eine Regel einer Web Application Firewall eines Drittanbieters ist nicht vom Hersteller bestätigt und darf nicht als Fix verlassen werden.
Ausnutzung
- Bekannte Ausnutzung: In den konsultierten Quellen keine gefunden. CISA-SSVC-Bewertung: Exploitation none.
- Öffentlicher Proof of Concept: keiner gefunden, was nicht bedeutet, dass keiner existiert.
- Der CISA-KEV-Status wurde nicht direkt geprüft.
Unsere Empfehlung
- Alle ERPNext-Installationen mit hoher Priorität auf 15.119.1 oder 16.32.0 (oder eine neuere Version) aktualisieren.
- Bis zum Patch festlegen, welche Benutzer operative Rollen zum Versenden von Nachrichten haben dürfen, und diese Rollen einschränken.
- Logs auf ungewöhnliche Template-Syntax in Nachrichteneingaben prüfen.
- Prüfen, ob die Instanz aus dem Internet erreichbar ist, und die Einstellungen für E-Mail und ausgehende Anfragen kontrollieren.
- Hinweis zur Abweichung: Der Hersteller stuft die Lücke als Critical (CVSS 3.1 9.9) ein, der CVSS-4.0-Wert beträgt 8.7. Für die Priorisierung die Herstellerbewertung verwenden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-6w83-8777-v93q github.com
- VulnCheck advisory: Frappe ERPNext before 15.119.1 www.vulncheck.com
- OSV: CVE-2026-109652 osv.dev
- VulDB: CVE-2026-109652 vuldb.com
- Strix: CVE-2026-109652 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:40.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.