Frappe ERPNext: Rechteausweitung durch unautorisierte Datensatzerstellung
Zusammenfassung
Ein Endpunkt in Frappe ERPNext übernimmt den Datensatztyp aus der Anfrage und fügt den Datensatz ohne Berechtigungsprüfung ein. Jeder authentifizierte Benutzer, auch ohne operative Rolle, kann privilegierte Konten erstellen und die volle Kontrolle über die Site übernehmen. Da ERPNext Finanz- und Kundendaten enthält, ist die Auswirkung einer Übernahme hoch. Der Angreifer benötigt lediglich einen gültigen Login, daher hängt die Exponierung davon ab, wer sich anmelden kann, einschliesslich Selbstregistrierung oder Portal-Benutzer.
Betroffen
- ERPNext vor 15.111.0
- ERPNext 16.0.0-beta.1 bis vor 16.22.0
Behoben in
- 15.111.0
- 16.22.0
Umgehung
- Der Hersteller gibt an, dass kein Workaround verfügbar ist und ein Upgrade erforderlich ist.
- Die Beschränkung des Zugriffs auf das ERP auf vertrauenswürdige interne Netzwerke reduziert die Exponierung, behebt die Schwachstelle aber nicht.
Ausnutzung
Unbekannt. Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden, und es wurde kein Eintrag im CISA-KEV-Katalog gefunden. Die CISA-SSVC-Bewertung lautet Ausnutzung: keine und automatisierbar: nein. Es wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle ERPNext- und Frappe-Instanzen mit ihren Versionen erfassen, einschliesslich gehosteter Instanzen oder Frappe-Cloud-Deployments.
- Mindestens auf 15.111.0 oder 16.22.0 aktualisieren. Die neueste Patch-Version bevorzugen, da CVE-2026-109652 nur in 15.119.1 und 16.32.0 behoben ist.
- Benutzerkonten und Rollenzuweisungen auf unerwartete privilegierte Konten prüfen und Logs auf unerwartete Benutzererstellungen durchsehen.
- Den Internetzugriff auf das ERP einschränken und die Selbstregistrierung deaktivieren, falls sie nicht benötigt wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-x635-wr4c-7345 github.com
- VulnCheck advisory: Frappe ERPNext before 15.111.0 www.vulncheck.com
- OSV: CVE-2026-109667 osv.dev
- VulDB: CVE-2026-109667 vuldb.com
- ThreatINT: CVE-2026-109667 cve.threatint.com
- VulnCheck advisory: ERPNext before 15.119.1 server-side template injection www.vulncheck.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:38.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.