Frappe HRMS: SQL-Injection durch fehlende Eingabevalidierung
Zusammenfassung
Frappe HRMS, ein Open-Source-System für das Personalmanagement, enthält in einigen Endpunkten eine SQL-Injection-Schwachstelle aufgrund fehlender Eingabevalidierung (CVSS 4.0: 8.3). Jeder authentifizierte Benutzer, auch mit einem Konto mit geringen Berechtigungen, kann manipulierte Anfragen senden und so sensible Informationen aus der Datenbank extrahieren, potenziell einschliesslich persönlicher Daten und Lohndaten. Für die Ausnutzung ist ein gültiges Login nötig, aber keine Benutzerinteraktion.
Betroffen
- Frappe HRMS 14.0.0 bis vor 14.38.2
- Frappe HRMS 15.0.0 bis vor 15.64.0
- Frappe HRMS 16.0.0 bis vor 16.18.0
- Ob Versionen 13.x und älter betroffen sind: Unbekannt.
Behoben in
- 14.38.2
- 15.64.0
- 16.18.0
- Die neueste Patch-Version des jeweiligen Zweigs verwenden.
Umgehung
Kein Workaround des Herstellers dokumentiert; ein Update ist erforderlich. Laut Drittquelle (VulDB) kann eine Web Application Firewall am Netzwerkperimeter als rein temporäre Kompensationsmassnahme dienen.
Ausnutzung
- Ein öffentliches Proof-of-Concept-Repository ist gelistet; es ist nicht verifiziert und soll KI-generiert sein.
- VulDB gibt an, dass kein Exploit verfügbar ist, und führt den Status als 0-day; dieser Widerspruch ist ungeklärt.
- CISA SSVC: Exploitation none. Keine aktive Ausnutzung gefunden. Der CISA-KEV-Katalog wurde nicht gezielt geprüft.
Unsere Empfehlung
- Alle Frappe-HRMS-Instanzen und deren Versionen erfassen.
- Auf 14.38.2, 15.64.0 oder 16.18.0 oder neuer aktualisieren.
- Bis zur Aktualisierung den HRMS-Zugriff auf das interne Netzwerk oder VPN beschränken und prüfen, welche Konten Zugriff haben.
- Applikations- und Datenbanklogs auf ungewöhnliche Abfrageparameter und unerwartete Datenzugriffe prüfen.
- Die gesamte HRMS-Version mit der neuesten Release vergleichen, da 2026 weitere HRMS-Schwachstellen behoben wurden (CVE-2026-55796, CVE-2026-64862).
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
Syscallh00k/CVE-2026-111389
Quellen der Recherche
- GitHub Security Advisory GHSA-jfmr-9jv9-mrw4 github.com
- VulnCheck advisory www.vulncheck.com
- CVE record via Vulners vulners.com
- VulDB entry 421036 vuldb.com
- Strix CVE entry www.strix.ai
- CVSS 4.0 data via ThreatInt cve.threatint.com
- Frappe HRMS release v16.18.0 (newreleases.io) newreleases.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:40.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.