Frappe ERPNext: Gespeicherte Cross-Site-Scripting-Schwachstelle in Datensatzfeldern
Zusammenfassung
Frappe ERPNext vor 15.119.0 und 16.x vor 16.31.0 enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle in Datensatzfeldern, die ohne Escaping in HTML-Attribute ausgegeben werden. Ein Benutzer mit niedrigen Berechtigungen kann einen schädlichen Payload speichern, der im Browser jedes privilegierten Benutzers ausgeführt wird, der die betroffene Seite öffnet. Dies kann zur Kontoübernahme des privilegierten Benutzers führen, wodurch in ERPNext Finanz- und Personaldaten offengelegt werden können. Für die Ausnutzung ist eine Interaktion des Opfers erforderlich, da dieses die betroffene Seite öffnen muss.
Betroffen
- ERPNext-Versionen vor 15.119.0
- ERPNext-16.x-Versionen von 16.0.0-beta.1 bis vor 16.31.0
Behoben in
- ERPNext 15.119.0
- ERPNext 16.31.0
Spätere ERPNext-Versionen beheben weitere XSS-Probleme, daher wird die neueste Patch-Version Ihres Zweigs empfohlen.
Umgehung
Laut Hersteller ist kein Workaround verfügbar. Ein Upgrade ist erforderlich.
Ausnutzung
- Nicht als aktiv ausgenutzt markiert (laut den Quellen nicht im CISA-KEV-Katalog).
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen Sie die installierte ERPNext-Version (zum Beispiel mit 'bench version') und vergleichen Sie diese mit 15.119.0 und 16.31.0.
- Aktualisieren Sie auf die neueste Patch-Version Ihres Zweigs, da später weitere XSS-Fixes existieren.
- Überprüfen Sie Konten mit niedrigen Berechtigungen oder Portalzugriff und entfernen Sie nicht benötigte Konten.
- Beschränken Sie die Internet-Erreichbarkeit des ERPNext-Desks und der Portale.
- Priorisieren Sie dieses Update für Instanzen, in denen Kunden- oder Partnerbenutzer Datensätze erstellen können.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-8pr6-r75h-h8xx github.com
- VulnCheck advisory: Frappe ERPNext before 15.119.0 Stored XSS www.vulncheck.com
- OSV: CVE-2026-109653 osv.dev
- Threatint: CVE-2026-109653 cve.threatint.com
- VulDB: CVE-2026-109653 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:48.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.