CVE-2026-108734
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Frappe CRM w wersjach od 1.49.0 do 1.87.0 zawiera podatność braku autoryzacji w crm.api.doc.get_linked_docs_of_document, która pozwala uwierzytelnionym użytkownikom czytać powiązane dokumenty bez sprawdzania uprawnień. Atakujący może wskazać leada, deala, komentarz lub użytkownika, których nie może czytać, aby uzyskać powiązane numery telefonów z dzienników połączeń, organizacje dealów i tekst powiadomień o wzmiankach.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych informacji, takich jak numery telefonów, dane organizacji i treści powiadomień, co prowadzi do naruszenia prywatności i wycieku danych. Ryzyko obejmuje również możliwość wykorzystania tych informacji do dalszych ataków socjotechnicznych.
Rekomendacja
Zaktualizuj Frappe CRM do wersji nowszej niż 1.87.0, jeśli jest dostępna, oraz wdrożyć sprawdzanie uprawnień w metodzie get_linked_docs_of_document. Przeprowadź audyt logów dostępu do powiązanych dokumentów pod kątem nieautoryzowanych odczytów.
Inne podatności w Frappe CRM
Zobacz wszystkie- CVE-2026-116492Średnie
Aplikacja Frappe CRM przed wersją 1.89.1 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami czytać rekordy CRM Lead, do których nie mają dostępu, poprzez API get_contact_by_phone_number wykonujące surowe zapytania do bazy bez sprawdzania uprawnień. Atakujący może podać znany numer telefonu, aby uzyskać pełne dane leada.
- CVE-2026-111938Średnie
Frappe CRM przed wersją 1.74.0 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom Sales modyfikować dzienniki połączeń innych użytkowników poprzez podanie dowolnych wartości call_sid. Atakujący mogą wywołać endpointy add_note_to_call_log i add_task_to_call_log, aby dołączyć własne notatki i zadania widoczne w dziennikach połączeń, leadach i szansach sprzedaży ofiar.
- CVE-2026-111937Średnie
Frappe CRM przed wersją 1.81.2 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom Sales uzyskać dostęp do rekordów powiadomień CRM innych użytkowników z powodu braku hooków uprawnień. Atakujący mogą odpytywać endpointy frappe.client z filtrem to_user lub wywołać mark_as_read z argumentem innego użytkownika, aby odczytać, oznaczyć jako przeczytane lub usunąć powiadomienia innych.
- CVE-2026-53761Wysokie
Frappe CRM przed wersją 1.73.0 zawiera podatność obejścia uwierzytelniania poprzez zalogowane klucze zaproszeń w crm/api. Atakujący może wykorzystać te klucze do nieautoryzowanego dostępu.
- CVE-2025-68928Średnie
Frappe CRM to narzędzie open source do zarządzania relacjami z klientami. W wersjach przed 1.56.2 uwierzytelnieni użytkownicy mogli umieszczać spreparowane adresy URL w polu witryny, które nie były sanityzowane, co prowadziło do ataków cross-site scripting. Wersja 1.56.2 naprawia ten problem.
- CVE-2025-11461Wysokie
W kontrolerze pulpitu Frappe CRM występują liczne podatności SQL Injection wynikające z niebezpiecznej konkatenacji parametrów kontrolowanych przez użytkownika do dynamicznych zapytań SQL. Problem dotyczy wersji 1.53.1.
Oryginalny opis (angielski, źródło NVD)
Frappe CRM 1.49.0 through 1.87.0 contains a missing authorization vulnerability in crm.api.doc.get_linked_docs_of_document that allows authenticated users to read linked documents without permission checks. Attackers can name a lead, deal, comment or user they cannot read to obtain linked call log phone numbers, deal organizations and mention notification text.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS