Podatności Frappe

W wersjach Frappe do 7.1.27 występuje podatność na wstrzyknięcie SQL w funkcji frappe.share.get_users, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń SQL poprzez parametr fields.

Frappe w wersjach przed 15.121.0 oraz 16.x przed 16.34.0 zawiera podatność typu path traversal, ponieważ obsługa przesyłania plików nie weryfikuje ścieżki docelowej przed zapisem na dysk. Uwierzytelniony atakujący może przesłać spreparowane pliki poza zamierzony katalog przechowywania, aby uzyskać zdalne wykonanie kodu na serwerze.

Frappe przed wersjami 16.14.0 i 15.104.0 zawiera podatność umożliwiającą nieograniczony dostęp do Doctype przez exploit API.

Frappe to framework webowy pełnego stosu. Przed wersjami 14.99.6 i 15.88.1 uwierzytelniony użytkownik z określonymi uprawnieniami mógł zostać nakłoniony do otwarcia specjalnie spreparowanego linku. Może to prowadzić do wykonania złośliwego szablonu na serwerze, co skutkuje zdalnym wykonaniem kodu. Wersje 14.99.6 i 15.88.1 naprawiają ten problem. Nie są dostępne żadne znane obejścia.

Frappe to framework aplikacji webowych full-stack. W wersjach przed 15.116.0 i 16.29.0 przepływ logowania OAuth używa niesanityzowanego parametru state kontrolowanego przez klienta do wyboru nawigacji po uwierzytelnieniu, co pozwala spreparowanej wartości state przekierować użytkownika do lokalizacji wybranej przez atakującego. Problem naprawiono w wersjach 15.116.0 i 16.29.0.

Frappe to pełnostackowy framework aplikacji webowych. Przed wersją 16.23.0, metoda get_count() w reportview składa operację zliczania wokół wygenerowanego SQL przez surową ścieżkę wykonania bazy danych, co pozwala na modyfikację wykonywanego SQL przez spreparowane dane wejściowe raportu.

W Frappe przed wersją 15.118.0 oraz 16.x przed 16.31.0 występuje podatność stored cross-site scripting w filtrach wykresów dashboardu, ponieważ jQuery renderuje wprowadzone wartości filtrów jako rich text. Uwierzytelnieni atakujący mogą zapisać złośliwe wartości filtrów, które wykonują skrypty w przeglądarkach użytkowników przeglądających wykres dashboardu.

W Frappe przed wersją 15.113.3 oraz 16.x przed 16.25.0 występuje brak kontroli autoryzacji, w którym niektóre endpointy nie egzekwują właściwych sprawdzeń uprawnień. Uwierzytelnieni użytkownicy mogą wysyłać żądania do tych endpointów, aby modyfikować rekordy poza zakresem przypisanej im roli.

Frappe przed wersją 14.99.2 i 15.x przed 15.86.0 zawiera podatność na wstrzykiwanie LDAP, ponieważ niektóre punkty końcowe nie sanityzują parametrów dostarczanych przez użytkownika przed użyciem ich w zapytaniach LDAP. Atakujący mogą dostarczyć spreparowaną składnię filtra LDAP przez te parametry, aby zmienić wynikowe zapytania do katalogu.

Frappe przed wersją 14.99.10 i 15.x przed 15.91.1 zawiera podatność na trwały cross-site scripting (XSS) na stronie leaderboard, ponieważ nazwy użytkowników są renderowane bez odpowiedniej neutralizacji. Uwierzytelnieni atakujący mogą ustawić spreparowaną nazwę użytkownika, która wykonuje dowolny JavaScript w przeglądarkach innych użytkowników przeglądających leaderboard.

Frappe przed wersją 14.58.0 i 15.x przed 15.4.0 zawiera podatność na cross-site scripting (XSS) w widoku wydruku, ponieważ parametry printview nie są escapowane przed renderowaniem. Zdalni atakujący mogą spreparować złośliwy URL printview, który po odwiedzeniu przez ofiarę wstrzykuje HTML i wykonuje skrypt w sesji przeglądarki ofiary.

W Frappe przed wersją 14.81.4 oraz w gałęzi 15.x przed 15.41.0 występuje luka nieprawidłowego zarządzania uprawnieniami dotycząca pewnej akcji dokumentu, która pozwala na eskalację z roli Website User do System Manager. Uwierzytelniony atakujący z dostępem Website User może połączyć tę akcję z dodatkowymi krokami, aby uzyskać administracyjne uprawnienia System Manager w aplikacji Frappe.

Frappe przed wersją 13.46.3 i 14.x przed 14.21.1 zawiera podatność na nieprawidłową kontrolę dostępu w uprawnieniach Email Template, która pozwala każdemu uwierzytelnionemu użytkownikowi niebędącemu gościem na tworzenie i edycję dowolnego szablonu e-maila. Atakujący z kontami o niskich uprawnieniach, w tym samorejestrujący się użytkownicy, gdy rejestracja jest włączona, mogą modyfikować szablony e-maili używane przez aplikację.

Framework Frappe przed wersją 13.32.0 używa słabego uwierzytelniania dla dostępu do widoku wydruku, ponieważ klucz widoku wydruku można wyprowadzić z danych udostępnianych przez inne dozwolone punkty API. Atakujący mogą wygenerować prawidłowy klucz, aby przeglądać dokumenty przez widok wydruku bez odpowiednich uprawnień.

Frappe przed wersją 13.22.0 zawiera podatność nieprawidłowej autoryzacji, która pozwala uwierzytelnionym użytkownikom na zmianę nazw dokumentów poprzez wykorzystanie brakującego sprawdzenia uprawnień. Atakujący mogą wywołać funkcję zmiany nazwy dokumentów, do których nie mają uprawnień do modyfikacji, zmieniając rekordy bez odpowiedniej autoryzacji.

Frappe przed wersją 13.46.1 oraz wersje 14.x przed 14.20.0 zawierają podatność cross-site scripting, ponieważ funkcja html2text słabo sanityzuje dane wejściowe użytkownika. Uwierzytelnieni atakujący mogą dostarczyć spreparowany HTML, który jest niewystarczająco sanityzowany przez html2text, co umożliwia wykonanie skryptów w przeglądarkach użytkowników przeglądających wyrenderowaną treść.

Frappe przed wersją 13.52.0 oraz wersje 14.x przed 14.31.0 zawierają podatność wstrzykiwania HTML spowodowaną słabym escapowaniem treści dostarczanej przez użytkownika renderowanej na stronach. Atakujący mogą przesłać spreparowany HTML, który omija niewystarczające escapowanie i jest renderowany w przeglądarkach użytkowników, co umożliwia cross-site scripting.

Frappe w wersjach 14.x przed 14.45.0 zawiera podatność ujawniania informacji, która pozwala użytkownikom z dostępem do dzienników błędów na przeglądanie sekretów przechowywanych w zmiennych lokalnych przechwyconych w tracebackach. Atakujący, którzy mogą czytać dzienniki błędów, mogą wyodrębnić jawne sekrety, takie jak poświadczenia lub klucze, ujawnione w zmiennych lokalnych tracebacka.

Frappe przed wersją 14.59.0 oraz wersje 15.x przed 15.5.0 zawierają wadę sandboxa, gdzie globalna flaga frappe.flags.in_safe_exec może stać się False podczas wykonywania skryptów serwera, gdy jeden skrypt serwera wywołuje inny. Uwierzytelnieni użytkownicy z wysokimi uprawnieniami mogą stworzyć skrypt serwera, który wywołuje inne skrypty serwera, na przykład przez zapisanie dokumentu, tak że pozostały kod działa bez ochrony bezpiecznego wykonywania.

W systemie Frappe przed wersją 14.49.0 występuje podatność umożliwiająca atak XSS związany ze stronami blogów oraz stronami wyjątków.

Frappe 15.11.0 do 16.32.0 przechowuje i renderuje opis karty obszaru roboczego bez filtrowania XSS. Pole opisu w doctype Workspace Link ma ustawioną flagę ignore_xss_filter, a funkcja _sanitize_content() pomija takie pola, więc wartość jest przechowywana dokładnie tak, jak została przesłana. Następnie jest ona interpolowana do popovera Bootstrap z włączonym html: true, co pozwala użytkownikowi z rolą Workspace Manager na wykonanie dowolnego kodu w sesji innych użytkowników.

Frappe to pełnostackowy framework aplikacji webowych napisany w Pythonie i JavaScript. Przed wersją 15.115.0, obejście kontroli dostępu w REST API umożliwia użytkownikowi odczyt danych z powiązanych typów dokumentów (Linked DocTypes), do których nie ma uprawnień. Gdy dokument odwołuje się do innego dokumentu przez pole Link, framework nie egzekwuje spójnie uprawnień powiązanego typu dokumentu podczas pobierania rekordu przez REST API, więc uwierzytelniony użytkownik z niskimi uprawnieniami może uzyskać pola z powiązanych rekordów poza swoim zakresem. Problem naprawiono w wersji 15.115.0.

Frappe przed wersjami 15.115.0 i 16.27.0 zawiera podatność w publicznym formularzu webowym request-data oraz klasie PersonalDataDownloadRequest w frappe/website/doctype/personal_data_download_request/personal_data_download_request.py, które zwracają rozróżnialne kształty odpowiedzi dla zarejestrowanych i niezarejestrowanych adresów e-mail, w tym pole user_name i zachowanie trwałości. Zdalny atakujący może porównać odpowiedzi, aby enumerować zarejestrowanych użytkowników.

Frappe przed wersjami 15.114.0 i 16.26.0 zawiera podatność w przepływie zgody OAuth2, która pozwala atakującemu nakłonić uwierzytelnionego użytkownika do zatwierdzenia grantu OAuth lub ponownego użycia stanu autoryzacji dla niewłaściwego klienta. Wynika to z braku ograniczenia metody approve do POST, braku tokena CSRF i braku sprawdzenia, czy aktywny token OAuth należy do żądającego klienta.

Frappe w wersji 16.31.0 i wcześniejszych zawiera podatność, w której whitelistowany endpoint frappe.model.workflow.bulk_workflow_approval w frappe/model/workflow.py akceptuje bezpieczne metody HTTP dla zmian stanu zatwierdzeń workflow, ponieważ endpoint nie jest ograniczony do POST. Atakujący może nakłonić uwierzytelnioną przeglądarkę ofiary do przesłania akcji zatwierdzenia z uprawnieniami ofiary. Brak wydanej wersji z poprawką na dzień przeglądu.

Frappe w wersji 16.31.0 i wcześniejszych zawiera podatność polegającą na pomyleniu typów w funkcji frappe.client.set_value, która sprawdza słownik przekazany przez parametr fieldname pod kątem zabronionych pól, ale przed sparsowaniem go na poszczególne nazwy pól. Uwierzytelniony użytkownik może wykorzystać tę podatność do masowego przypisywania chronionych pól przez endpoint klienta. Brak jest wydanej wersji z poprawką.

Frappe w wersji 16.31.0 i wcześniejszych zawiera podatność w punktach końcowych toggle_like i mark_as_seen, które nie egzekwują uprawnień odczytu przed modyfikacją metadanych _liked_by lub stanu seen notatki. Uwierzytelniony użytkownik może wchodzić w interakcje z dokumentami lub notatkami, których nie może odczytać, ujawniając istnienie zasobów i modyfikując powiązane metadane.

Frappe to framework aplikacji webowych full-stack. Przed wersjami 16.23.0 i 15.112.0 generowanie powiadomień Document Follow nie przelicza ponownie bieżących uprawnień odbiorcy, co pozwala użytkownikom z cofniętym lub ograniczonym dostępem nadal otrzymywać dane dokumentów e-mailem.

We frameworku Frappe przed wersjami 16.20.0 i 15.112.0 uwierzytelniony użytkownik może uzyskać nieograniczony dostęp do API Document Follow (update_follow).

Frappe to framework webowy full-stack. Przed wersjami 16.20.0 i 15.112.0 istniał bypass uprawnień na poziomie pól, który ujawniał ograniczone pola DocType. Problem naprawiono w wersjach 16.23.0 i 15.112.0.

Frappe to pełnostackowy framework aplikacji webowych. Przed wersjami 16.19.0 i 15.109.0 Data Import nie escapuje importowanych nagłówków kolumn przed renderowaniem podglądów i wyników, co pozwala uwierzytelnionemu importerowi na utrwalenie treści skryptów, które wykonują się, gdy inny użytkownik przegląda interfejs importu. Problem naprawiono w wersjach 16.19.0 i 15.109.0.

Frappe przed wersjami 15.110.0 i 16.20.0, endpointy `restore` i `bulk_restore` nie stosują odpowiednich kontroli uprawnień dokumentów, co pozwala uwierzytelnionemu użytkownikowi na przywracanie usuniętych dokumentów bez wymaganej autoryzacji.

Frappe przed wersjami 15.108.0 i 16.18.3, generowanie tymczasowych magicznych linków logowania może używać kontrolowanego przez atakującego nagłówka Host żądania, co pozwala zdalnemu atakującemu na spowodowanie, że linki logowania wysyłane e-mailem wskazują na domenę kontrolowaną przez atakującego i przechwycenie tokena logowania, gdy odbiorca kliknie link.

Przed wersją 16.18.0 API Workspace Save akceptuje kontrolowany identyfikator obszaru roboczego od dowolnego uwierzytelnionego użytkownika bez egzekwowania własności obszaru roboczego, co pozwala na modyfikację prywatnego obszaru roboczego innego użytkownika i trwałe wstrzyknięcie skryptu. Problem naprawiono w wersji 16.18.0.

W frameworku Frappe przed wersjami 16.16.0 i 15.106.0 endpoint reset_password umożliwiał enumerację użytkowników. Atakujący mógł sprawdzić, czy dany adres email istnieje w systemie.

W frameworku Frappe przed wersjami 16.23.0 i 15.112.0 wykryto podatność TarSlip RCE podczas importu pakietów. Brak wystarczającego sprawdzania członków archiwum tar przed ekstrakcją umożliwiał zdalne wykonanie kodu.

W systemie Frappe przed wersją 16.19.0 stwierdzono podatność na pominięcie autoryzacji w punkcie końcowym update_page w obszarze Workspace. Publiczne obszary robocze nie przechodziły wymaganej kontroli edycji przez menedżera obszaru roboczego.

W frameworku Frappe przed wersjami 16.20.0 i 15.110.0 użytkownicy bez uprawnień do zapisu mogli dołączać pliki do dowolnego typu dokumentu za pomocą punktów końcowych API do obsługi plików, takich jak add_attachments. Luka została naprawiona w wersjach 16.20.0 i 15.110.0.

W frameworku Frappe przed wersjami 15.107.5 i 16.18.2 brakowało odpowiednich kontroli uprawnień w punkcie końcowym reportview. Luka ta została załatana w wymienionych wersjach.

Framework Frappe przed wersjami 16.18.3 i 15.108.0 zawierał podatność w funkcji check_safe_sql_query, która zezwalała na zapytania SELECT INTO OUTFILE. Może to być wykorzystane na samodzielnie hostowanych stronach, jeśli uprawnienia bazy danych są nieprawidłowo skonfigurowane i dostępne są przywileje MySQL FILE.

Podatność typu path traversal w frameworku Frappe umożliwia nieautoryzowany dostęp do plików kopii zapasowych poprzez funkcję download_backups. Problem występuje w wersjach przed 16.19.0 i 15.109.0 z powodu braku odpowiedniego zabezpieczenia ścieżek.

W frameworku Frappe przed wersją 16.18.3 wykryto podatność na path traversal i lokalne dołączanie plików poprzez bezpieczny dostęp do lokalnych zasobów w generatorze PDF Chrome.

W frameworku Frappe przed wersjami 15.105.0 i 16.15.0 wykryto podatność na odczyt dowolnych plików poprzez ścieżkę traversal. Podatność umożliwia atakującemu odczytanie plików poza dozwolonym katalogiem.

Frappe, framework do tworzenia aplikacji webowych, zawiera podatność na ataki typu path traversal w wersjach 14.99.5 i starszych oraz 15.0.0 do 15.80.1. Brak odpowiedniej sanityzacji niektórych żądań umożliwia zdalne odczytanie dowolnych plików z serwera. Problem został naprawiony w wersjach 14.99.6 i 15.88.1.

Frappe przed wersjami 15.86.0 i 14.99.2 był podatny na ataki path traversal, umożliwiające pobranie niektórych plików z serwera przy znanej pełnej ścieżce. Witryny hostowane na Frappe Cloud oraz za reverse proxy (np. NGINX) nie są dotknięte; problem dotyczy głównie bezpośredniego użycia werkzeug/gunicorn.

W Frappe przed wersjami 15.86.0 i 14.99.2 pewien endpoint był podatny na błędy SQL injection oparty na błędach z powodu braku walidacji parametrów. Możliwe było uzyskanie informacji, takich jak wersja.

Frappe (wersje przed 14.98.0 i 15.83.0) umożliwia otwarte przekierowanie poprzez argument redirect na stronie logowania, jeśli przekazano określony typ URL. Podatność naprawiono w wersjach 14.98.0 i 15.83.0.

Frappe, framework webowy, w wersjach 14.96.9 i starszych oraz 15.0.0 do 15.71.0 ma niebezpieczny parametr endpointu podatny na SQL injection oparty na błędach z powodu braku walidacji. Można uzyskać wrażliwe informacje, takie jak wersjonowanie. Poprawka w wersjach 14.96.10 i 15.72.0.