Frappe ERPNext: Gespeichertes Cross-Site Scripting über Profilfeld in Portalseiten
Zusammenfassung
Frappe ERPNext gibt ein Profilfeld auf Portalseiten ohne Escaping aus. Ein Benutzer mit niedrigen Berechtigungen kann darin bösartigen Script-Code speichern, der im Browser jedes Administrators ausgeführt wird, der diese Seiten aufruft. Laut Herstellerhinweis genügt dies für die Übernahme des Administratorkontos und damit des ERP-Systems. Eine Interaktion des Administrators ist erforderlich.
Betroffen
- Frappe ERPNext vor 15.113.0
- Frappe ERPNext 16.0.0-beta.1 bis vor 16.24.0
Behoben in
- Auf ERPNext 15.113.0 oder neuer aktualisieren (15.x)
- Auf ERPNext 16.24.0 oder neuer aktualisieren (16.x)
Umgehung
- Laut Herstellerhinweis steht kein Workaround zur Verfügung; ein Update ist erforderlich.
- Bis zum Update die Selbstregistrierung für Portalbenutzer einschränken oder deaktivieren und bestehende Portalkonten prüfen (eigener Vorschlag, nicht vom Hersteller).
- Administratoren bitten, portalseitige Datensätze nicht zu öffnen, während sie im Backoffice angemeldet sind (eigener Vorschlag, nicht vom Hersteller).
Ausnutzung
- CISA SSVC: Exploitation none, nicht automatisierbar.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof-of-Concept gefunden.
- In den geprüften Quellen gibt es keine Hinweise auf bekannte Ausnutzung; der CISA-KEV-Katalog wurde nicht direkt geprüft.
Unsere Empfehlung
- Installierte ERPNext-Version jetzt prüfen und bei Betroffenheit auf 15.113.0 oder 16.24.0 (oder neuer) aktualisieren.
- Portalbenutzerkonten und Einstellungen zur Selbstregistrierung prüfen und kontrollieren, ob das Portal aus dem Internet erreichbar ist.
- Administratorkonten auf unerwartete Änderungen prüfen, falls das Portal vor dem Patchen von nicht vertrauenswürdigen Benutzern genutzt wurde.
- Vor dem Schliessen des Tickets den GitHub-Hinweis und den CISA-KEV-Katalog prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-rg9g-c26v-cw27 github.com
- VulnCheck Advisory: Frappe ERPNext Stored XSS via Profile Field www.vulncheck.com
- OSV record CVE-2026-109671 osv.dev
- Positive Technologies PT-2026-111084 (Vulners) vulners.com
- HOL Guard CVE record CVE-2026-109671 hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.