CVE-2026-66000
NiskieCVSS 2.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Frappe to framework aplikacji webowych full-stack. Przed wersjami 16.23.0 i 15.112.0 generowanie powiadomień Document Follow nie przelicza ponownie bieżących uprawnień odbiorcy, co pozwala użytkownikom z cofniętym lub ograniczonym dostępem nadal otrzymywać dane dokumentów e-mailem.
Ocena ryzyka
Użytkownicy, którzy stracili uprawnienia, mogą nadal otrzymywać poufne dane dokumentów, co narusza kontrolę dostępu i może prowadzić do wycieku informacji.
Rekomendacja
Należy zaktualizować Frappe do wersji 16.23.0 lub 15.112.0 (w zależności od używanej linii), które zawierają poprawkę. Po aktualizacji należy zweryfikować, czy powiadomienia są wysyłane tylko do uprawnionych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Frappe is a full-stack web application framework. Prior to 16.23.0 and 15.112.0, Document Follow notification generation does not re-evaluate the recipient's current document permissions, allowing users whose access was revoked or reduced to continue receiving document data by email. This issue is fixed in versions 16.23.0 and 15.112.0.