Frappe Framework: SQL-Injection in reportview get_count()
Zusammenfassung
Die Methode get_count() in der Komponente reportview von Frappe, einem Full-Stack-Webframework, das unter anderem für Anwendungen wie ERPNext verwendet wird, erstellt eine Zählabfrage aus generiertem SQL und führt sie über einen direkten Datenbankaufruf aus. Manipulierte Report-Eingaben können das vom System ausgeführte SQL verändern. Ein authentifizierter Benutzer mit niedrigen Berechtigungen kann Datenbankinhalte wie Kunden-, Rechnungs- oder HR-Daten lesen und unter Umständen verändern; die Auswirkung auf die Verfügbarkeit wird als gering eingestuft.
Betroffen
- Frappe-Versionen vor 16.23.0
- Nachgelagerte Anwendungen, die auf betroffenen Frappe-Versionen basieren, etwa ERPNext (pro Installation zu bestätigen)
- Status des 15.x-Zweigs: Unbekannt.
Behoben in
- Frappe 16.23.0 (Commits 49dbde7460fa41528154088d23b6c6e12f733f9b und f4f2df926e3c2db2da5fc79983f285397c028690)
- Behobene 15.x-Version: Unbekannt.
Umgehung
- Kein vom Hersteller dokumentierter Workaround bekannt. Das Aktualisieren ist die empfohlene Behebung.
Ausnutzung
- Kein öffentlicher Proof of Concept zum Zeitpunkt der Erstellung bestätigt.
- Nicht im CISA-KEV-Katalog aufgeführt.
- EPSS ist sehr niedrig (0.00365).
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Alle Frappe- und ERPNext-Installationen und deren Versionen erfassen (bench version).
- Auf Frappe 16.23.0 oder neuer aktualisieren; den Upgrade-Pfad für den 15.x-Zweig vor dem Update in der GitHub-Sicherheitsmitteilung prüfen.
- Benutzerkonten prüfen und nicht benötigte Logins entfernen, da niedrige Berechtigungen die Voraussetzung sind.
- Prüfen, ob Installationen aus dem Internet erreichbar sind, und den Zugriff wo möglich einschränken.
- Die GitHub-Mitteilung GHSA-mf6r-q34j-pjw7 und den CISA-KEV-Katalog auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-mf6r-q34j-pjw7 github.com
- Frappe release v16.23.0 github.com
- Fix commit 49dbde7 github.com
- Fix commit f4f2df9 github.com
- OSV CVE-2026-55823 osv.dev
- Vulners RAPID7 CVE-2026-55823 (EPSS) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:24.
Referenzen der NVD (6)
- https://github.com/frappe/frappe/commit/49dbde7460fa41528154088d23b6c6e12f733f9b
- https://github.com/frappe/frappe/commit/f4f2df926e3c2db2da5fc79983f285397c028690
- https://github.com/frappe/frappe/pull/40022
- https://github.com/frappe/frappe/pull/40027
- https://github.com/frappe/frappe/releases/tag/v16.23.0
- https://github.com/frappe/frappe/security/advisories/GHSA-mf6r-q34j-pjw7
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.