Frappe ERPNext: Gespeichertes Cross-Site-Scripting über manipulierte Datensatznamen
Zusammenfassung
Frappe ERPNext vor 15.103.0 und 16.x vor 16.12.0 enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS) (CVE-2026-109673). Datensatznamen werden auf einigen Dashboards, Tools und Portalen nicht korrekt neutralisiert. Ein authentifizierter Angreifer kann durch einen manipulierten Datensatznamen Skripte im Browser anderer Benutzer ausführen lassen, was Datenzugriff, Datenänderungen und Token-Diebstahl ermöglichen kann, insbesondere gegenüber privilegierten Benutzern.
Betroffen
- ERPNext-Versionen 0 bis vor 15.103.0
- ERPNext 16.0.0-beta.1 bis vor 16.12.0
Behoben in
- 15.103.0 (15.x-Zweig)
- 16.12.0 (16.x-Zweig)
- Neuere gepatchte Versionen Ihres Zweigs werden empfohlen, da neuere Advisories weitere Schwachstellen beheben.
Umgehung
- Gemäss Sicherheitshinweis des Herstellers ist kein Workaround verfügbar; ein Upgrade ist erforderlich.
- Übergangsmassnahmen (nicht vom Hersteller): Erstellen und Umbenennen von Datensätzen auf wenige Personen beschränken und kürzlich erstellte Datensätze mit ungewöhnlichen Namen prüfen.
Ausnutzung
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept speziell für diese CVE gefunden.
Unsere Empfehlung
- Alle ERPNext-Installationen und deren Versionen erfassen.
- Auf 15.103.0 oder 16.12.0 aktualisieren oder auf die neueste gepatchte Version Ihres Zweigs.
- Verwandte XSS-Schwachstellen bei Datensatznamen werden separat behoben (zum Beispiel 15.112.0 / 16.23.0 und 15.120.0 / 16.33.0), daher als eine Upgrade-Aufgabe behandeln.
- Bis zur Behebung das Erstellen von Datensätzen und den Zugriff auf Dashboards und Portale für privilegierte Benutzer einschränken und auf ungewöhnliche Datensatznamen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-r99h-h44m-89m2 github.com
- VulnCheck Advisory: Frappe ERPNext Stored XSS via Crafted Record Names www.vulncheck.com
- OSV: CVE-2026-109673 osv.dev
- Vulners PT-2026-111023 (related ERPNext record-name XSS) vulners.com
- Vulners PT-2026-111028 (related ERPNext record-name XSS) vulners.com
- GitHub Security Advisory GHSA-x635-wr4c-7345 (later ERPNext fix) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.