CVE-2025-67289
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Podatność na dowolne przesyłanie plików w module Załączniki Frappe Framework v15.89.0 umożliwia atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku XML.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość zdalnego wykonania kodu, co może prowadzić do przejęcia kontroli nad systemem, kradzieży danych lub zakłócenia działania aplikacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Frappe Framework do najnowszej wersji łatającej tę podatność oraz wdrożenie walidacji typów plików w module Załączniki.
Inne podatności w Frappe Framework
Zobacz wszystkie- CVE-2026-119144Wysokie
Frappe Framework w wersjach przed 15.111.0 oraz 16.x przed 16.21.0 zawiera podatność Server-Side Template Injection (SSTI), ponieważ pola wiadomości kontrolowane przez użytkownika są renderowane jako szablony bez neutralizacji. Uwierzytelniony atakujący z typową rolą operacyjną może wstrzyknąć wyrażenia szablonów, które serwer ewaluuje w nieograniczonym kontekście.
- CVE-2026-114664Wysokie
Frappe Framework przed wersją 16.33.0 zawiera podatność blind SQL injection w metodzie frappe.desk.doctype.event.event.get_events, która nie neutralizuje poprawnie danych wejściowych użytkownika przed umieszczeniem ich w zapytaniach SQL. Uwierzytelnieni atakujący mogą wysyłać spreparowane dane do get_events i wnioskować o wynikach zapytań na podstawie zachowania aplikacji, aby wyodrębnić poufne informacje z bazy danych.
- CVE-2026-111388Średnie
Frappe Framework przed wersją 15.120.0 oraz 16.x przed 16.33.0 nie egzekwuje listy dozwolonych adresów IP restrict_ip dla metod uwierzytelniania innych niż sesyjne, takich jak klucz API, OAuth i uwierzytelnianie nagłówkowe. Atakujący z ważnymi poświadczeniami tych typów może zalogować się z adresu IP spoza listy.
- CVE-2026-109603Niskie
Frappe Framework w wersjach 15.x przed 15.107.3 oraz 16.x przed 16.17.0 korzysta z podatnej biblioteki pdfkit (CVE-2025-26240) do generowania PDF, co umożliwia SSRF oraz lokalne włączenie plików. Uwierzytelniony atakujący może dostarczyć spreparowaną treść do renderowania PDF, aby zmusić serwer do pobrania zasobów wewnętrznych lub osadzenia lokalnych plików w wygenerowanym PDF.
- CVE-2026-109601Średnie
W Frappe Framework przed wersją 15.117.0 oraz 16.x przed 16.30.0 występuje podatność arbitrary file read w obsłudze atrybutów w HTML wychodzącej poczty e-mail. Atakujący, którzy mogą dostarczyć treść wychodzącej wiadomości e-mail, mogą ustawić wartość atrybutu wskazującą lokalną ścieżkę pliku, aby ujawnić wrażliwe pliki serwera.
- CVE-2026-109600Średnie
W Frappe Framework przed wersją 15.118.0 oraz 16.x przed 16.31.0 system nie sprawdza, czy konto użytkownika jest wyłączone, przed wysłaniem powiadomień e-mail Document Follow. Wyłączony użytkownik, który wcześniej obserwował dokumenty, nadal otrzymuje aktualizacje e-mail o aktywności na tych dokumentach po tym, jak jego dostęp powinien zostać odebrany.
- CVE-2026-109598Średnie
W Frappe Framework przed wersją 15.120.0 oraz 16.x przed 16.33.0 występuje brak kontroli autoryzacji w białej liście endpointu API send_sms, który nie weryfikuje, czy wywołujący ma uprawnienia do wysyłania wiadomości SMS. Użytkownicy bez wymaganych uprawnień mogą wywołać send_sms, aby wysyłać dowolne wiadomości SMS podszywając się pod Firmę.
- CVE-2026-82634Średnie
Wersje deweloperskie Frappe Framework zawierają wadę autoryzacji w punkcie końcowym render_jinja_template, która pozwala użytkownikom z niskimi uprawnieniami na renderowanie dowolnych szablonów Jinja poprzez podanie surowych ciągów szablonów. Atakujący z uprawnieniami do drukowania dowolnego dokumentu mogą wykonywać dowolne zapytania SELECT przeciwko niepowiązanym tabelom, w tym odczytywać hashe haseł z tabeli __Auth.
- CVE-2026-50709Średnie
W Frappe Framework w wersji 17.0.0-dev występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem danych wejściowych kontrolowanych przez użytkownika w panelu Powiadomienia > Wydarzenia.
- CVE-2026-50705Średnie
W frameworku Frappe w wersji 17.0.0-dev występuje podatność typu Cross-Site Scripting (XSS) spowodowana niewłaściwym neutralizowaniem niezaufanego wejścia w rendererze nagłówka pulpitu formularza.
Oryginalny opis (angielski, źródło NVD)
An arbitrary file upload vulnerability in the Attachments module of Frappe Framework v15.89.0 allows attackers to execute arbitrary code via uploading a crafted XML file.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS