CVE-2026-66002

W wersjach Frappe do 7.1.27 występuje podatność na wstrzyknięcie SQL w funkcji frappe.share.get_users, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń SQL poprzez parametr fields.

Frappe w wersjach przed 15.121.0 oraz 16.x przed 16.34.0 zawiera podatność typu path traversal, ponieważ obsługa przesyłania plików nie weryfikuje ścieżki docelowej przed zapisem na dysk. Uwierzytelniony atakujący może przesłać spreparowane pliki poza zamierzony katalog przechowywania, aby uzyskać zdalne wykonanie kodu na serwerze.

Frappe przed wersjami 16.14.0 i 15.104.0 zawiera podatność umożliwiającą nieograniczony dostęp do Doctype przez exploit API.

Frappe to framework webowy pełnego stosu. Przed wersjami 14.99.6 i 15.88.1 uwierzytelniony użytkownik z określonymi uprawnieniami mógł zostać nakłoniony do otwarcia specjalnie spreparowanego linku. Może to prowadzić do wykonania złośliwego szablonu na serwerze, co skutkuje zdalnym wykonaniem kodu. Wersje 14.99.6 i 15.88.1 naprawiają ten problem. Nie są dostępne żadne znane obejścia.

Frappe to framework aplikacji webowych full-stack. W wersjach przed 15.116.0 i 16.29.0 przepływ logowania OAuth używa niesanityzowanego parametru state kontrolowanego przez klienta do wyboru nawigacji po uwierzytelnieniu, co pozwala spreparowanej wartości state przekierować użytkownika do lokalizacji wybranej przez atakującego. Problem naprawiono w wersjach 15.116.0 i 16.29.0.

Frappe to pełnostackowy framework aplikacji webowych. Przed wersją 16.23.0, metoda get_count() w reportview składa operację zliczania wokół wygenerowanego SQL przez surową ścieżkę wykonania bazy danych, co pozwala na modyfikację wykonywanego SQL przez spreparowane dane wejściowe raportu.

W Frappe przed wersją 15.118.0 oraz 16.x przed 16.31.0 występuje podatność stored cross-site scripting w filtrach wykresów dashboardu, ponieważ jQuery renderuje wprowadzone wartości filtrów jako rich text. Uwierzytelnieni atakujący mogą zapisać złośliwe wartości filtrów, które wykonują skrypty w przeglądarkach użytkowników przeglądających wykres dashboardu.

W Frappe przed wersją 15.113.3 oraz 16.x przed 16.25.0 występuje brak kontroli autoryzacji, w którym niektóre endpointy nie egzekwują właściwych sprawdzeń uprawnień. Uwierzytelnieni użytkownicy mogą wysyłać żądania do tych endpointów, aby modyfikować rekordy poza zakresem przypisanej im roli.

Frappe przed wersją 14.99.2 i 15.x przed 15.86.0 zawiera podatność na wstrzykiwanie LDAP, ponieważ niektóre punkty końcowe nie sanityzują parametrów dostarczanych przez użytkownika przed użyciem ich w zapytaniach LDAP. Atakujący mogą dostarczyć spreparowaną składnię filtra LDAP przez te parametry, aby zmienić wynikowe zapytania do katalogu.

Frappe przed wersją 14.99.10 i 15.x przed 15.91.1 zawiera podatność na trwały cross-site scripting (XSS) na stronie leaderboard, ponieważ nazwy użytkowników są renderowane bez odpowiedniej neutralizacji. Uwierzytelnieni atakujący mogą ustawić spreparowaną nazwę użytkownika, która wykonuje dowolny JavaScript w przeglądarkach innych użytkowników przeglądających leaderboard.