Frappe Framework: Server-side Template Injection über Nachrichtenfelder
Zusammenfassung
Frappe Framework in Versionen vor 15.111.0 und 16.x vor 16.21.0 rendert benutzergesteuerte Nachrichtenfelder ohne Neutralisierung als Templates. Ein authentifizierter Benutzer mit einer üblichen Betriebsrolle kann Template-Ausdrücke einschleusen, die der Server in einem uneingeschränkten Kontext auswertet. Eine erfolgreiche Ausnutzung kann zur Codeausführung auf dem Server führen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit, wobei das genaue Ausmass vom Hersteller nicht bestätigt ist.
Betroffen
- Frappe Framework 16.0.0 bis vor 16.21.0
- Frappe Framework vor 15.111.0
- ERPNext ist ein separates Paket und nicht Bestandteil dieses Eintrags
Behoben in
- Frappe Framework 15.111.0 (15.x)
- Frappe Framework 16.21.0 (16.x)
- Hinweis: Eine verwandte CVE-2026-65974 nennt für 16.x die Version 16.22.0 als behobene Version; vor der Wahl der Zielversion mit Frappe prüfen
Umgehung
- Es ist kein Workaround des Herstellers verfügbar. Ein Update ist die dokumentierte Massnahme.
- Zwischenmassnahme (nicht vom Hersteller bestätigt): Benutzer mit Betriebsrollen, die Nachrichten senden können, prüfen und nicht benötigte Rollen entfernen.
Ausnutzung
- Laut einem Drittanbieter-Tracker ist keine Ausnutzung bekannt.
- Laut einem Drittanbieter-Tracker nicht im CISA KEV enthalten; der CISA-Katalog wurde nicht direkt geprüft.
- EPSS: 0.31 % (Perzentil 23).
- Für diese CVE wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle Frappe-Framework-Installationen und deren Versionen erfassen.
- Auf 15.111.0 oder neuer im 15.x-Zweig aktualisieren sowie auf 16.21.0 oder neuer im 16.x-Zweig (vorzugsweise 16.22.0 oder neuer, Prüfung mit Frappe ausstehend).
- Bis zum Update Benutzer mit Betriebsrollen, die Nachrichten senden können, prüfen und nicht benötigte Rollen entfernen.
- Anwendungs- und Reverse-Proxy-Logs auf ungewöhnliche Template-Syntax in Nachrichteneingaben prüfen.
- Falls ERPNext eingesetzt wird, separat prüfen: Behobene Versionen sind 15.119.1 und 16.32.0 (CVE-2026-109652).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-6pmg-vc6m-6wrr github.com
- VulnCheck Advisory CVE-2026-119144 www.vulncheck.com
- VulDB 428626 vuldb.com
- Frappe Security Page github.com
- Red Packet Security CVE Alert www.redpacketsecurity.com
- Strix CVE-2026-119144 www.strix.ai
- VulnCheck Advisory ERPNext CVE-2026-109652 www.vulncheck.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:35.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.