Podatności Frappe ERPNext

Frappe ERPNext przed 15.98.0 oraz 16.x przed 16.6.0 zawiera podatność SQL injection w niektórych endpointach spowodowaną brakiem walidacji danych wejściowych.

Frappe ERPNext przed wersją 15.103.0 oraz 16.x przed 16.12.0 zawiera podatność typu stored XSS, ponieważ nazwy niektórych rekordów nie są prawidłowo neutralizowane podczas renderowania na niektórych pulpitach, narzędziach i portalach. Uwierzytelniony atakujący może tworzyć złośliwe nazwy rekordów, które wykonują skrypty w przeglądarkach innych użytkowników.

Frappe ERPNext przed 15.118.0 oraz 16.x przed 16.27.0 zawiera podatność braku autoryzacji w niektórych endpointach, które nie egzekwują właściwych kontroli uprawnień.

Frappe ERPNext przed wersją 15.113.0 oraz 16.x przed 16.24.0 zawiera podatność typu stored XSS w polu profilu, które jest renderowane bez escapowania na stronach portalu. Atakujący z niskimi uprawnieniami może zapisać złośliwy skrypt, który wykona się w przeglądarce administratora przeglądającego te strony.

Frappe ERPNext przed 15.110.0 oraz 16.x przed 16.21.0 zawiera podatność trwałego cross-site scripting (stored XSS) spowodowaną renderowaniem nazw rekordów bez escapowania.

Frappe ERPNext przed 15.110.0 oraz 16.x przed 16.21.0 zawiera podatność braku autoryzacji, w której niektóre endpointy nie egzekwują właściwych kontroli uprawnień przy zmianach statusu rekordów.

Frappe ERPNext przed 15.110.0 oraz 16.x przed 16.21.0 zawiera podatność braku autoryzacji w niektórych endpointach obsługujących rekordy stron (party records), pozwalającą uwierzytelnionym użytkownikom modyfikować dane wykraczające poza ich rolę.

Frappe ERPNext przed wersją 15.111.0 oraz 16.x przed 16.22.0 zawiera podatność typu privilege escalation w punkcie końcowym tworzenia rekordów, który pobiera typ rekordu z żądania i wstawia rekord z wyłączonymi kontrolami uprawnień. Każdy uwierzytelniony użytkownik, nawet bez roli operacyjnej, może podać uprzywilejowany typ rekordu, aby utworzyć uprzywilejowane konta.

Frappe ERPNext przed 15.110.0 oraz 16.x przed 16.21.0 zawiera podatność braku autoryzacji w niektórych endpointach, które nie egzekwują właściwych kontroli uprawnień na rekordach inwentarza.

Frappe ERPNext przed 15.108.0 oraz 16.x przed 16.18.0 zawiera podatność braku autoryzacji w niektórych endpointach, które nie egzekwują właściwych kontroli uprawnień.

Frappe ERPNext przed wersją 15.112.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom z typową rolą operacyjną na modyfikowanie rekordów poza ich uprawnieniami z powodu braku walidacji w niektórych punktach końcowych. Atakujący posiadający tę rolę mogą wywołać te punkty końcowe, aby zmienić pole w rekordach typów, które nie są objęte ich uprawnieniami, manipulując danymi, którymi nie powinni zarządzać.

Frappe ERPNext przed wersją 15.113.0 oraz 16.x przed 16.22.0 zawiera podatność wstrzykiwania SQL spowodowaną brakiem walidacji wejścia w niektórych punktach końcowych. Uwierzytelnieni zdalni atakujący mogą wysyłać specjalnie spreparowane żądania do tych punktów końcowych, aby manipulować zapytaniami do bazy danych i wyciągać wrażliwe informacje z bazy.

Frappe ERPNext przed wersją 15.112.0 oraz 16.x przed 16.23.0 zawiera podatność trwałego skryptowania między witrynami (XSS) w publicznym formularzu portalu, który przyjmuje nieuwierzytelnione zgłoszenia i przechowuje treści renderowane później z niewystarczającą neutralizacją. Nieuwierzytelnieni atakujący mogą przesłać spreparowany znacznik, który wykonuje się w sesjach przeglądarki personelu przeglądającego przechowywany rekord.

Frappe ERPNext przed wersją 15.116.0 oraz 16.x przed 16.27.0 zawiera podatność braku autoryzacji w niektórych punktach końcowych, które nie egzekwują odpowiednich kontroli autoryzacji, ujawniając dane finansowe. Uwierzytelnieni atakujący z kontami o niskich uprawnieniach mogą odpytywać te punkty końcowe, aby odczytać dane finansowe poza zakresem swojej roli.

Frappe ERPNext przed wersją 15.112.0 oraz 16.x przed 16.23.0 ma pewne punkty końcowe, które nie egzekwują odpowiednich kontroli autoryzacji na operacjach modyfikujących rekordy produkcyjne. Uwierzytelniony użytkownik o niskich uprawnieniach może wysyłać żądania do tych punktów końcowych, aby modyfikować dane produkcyjne poza zakresem dozwolonym przez jego rolę.

Frappe ERPNext przed wersją 15.113.0 oraz 16.x przed 16.24.0 zawiera podatność braku autoryzacji, w której niektóre punkty końcowe nie egzekwują odpowiednich kontroli uprawnień. Uwierzytelnieni użytkownicy mogą wywoływać te punkty końcowe, aby odczytać dane finansowe poza zakresem dozwolonym przez ich rolę.

Frappe ERPNext przed wersją 15.115.0 oraz 16.x przed 16.26.0 zawiera podatność braku autoryzacji, w której niektóre punkty końcowe nie egzekwują odpowiednich kontroli autoryzacji. Uwierzytelnieni użytkownicy mogą wywoływać te punkty końcowe, aby odczytać dane, w tym dane osobowe, poza zakresem dozwolonym przez ich rolę.

Frappe ERPNext 16.x przed wersją 16.27.0 zawiera podatność trwałego skryptowania między witrynami (XSS), która pozwala użytkownikom z prawami edycji na wstrzyknięcie skryptu przez nazwę rekordu renderowaną bez escapowania. Atakujący mogą ustawić złośliwą nazwę rekordu, aby skrypt wykonał się w przeglądarce każdego współpracownika, który otworzy stronę.

Frappe ERPNext przed wersją 15.118.2 oraz 16.x przed 16.30.0 zawiera podatność braku autoryzacji, w której niektóre punkty końcowe nie egzekwują odpowiednich kontroli autoryzacji na danych arkusza pozycji (item master). Uwierzytelnieni atakujący z kontami o niskich uprawnieniach mogą wywoływać te punkty końcowe, aby odczytać dane arkusza pozycji poza zakresem dozwolonym przez ich rolę.

Frappe ERPNext przed wersją 15.115.0 oraz 16.x przed 16.26.0 zawiera podatność braku autoryzacji w niektórych punktach końcowych, które nie egzekwują odpowiednich kontroli autoryzacji opartych na rolach. Uwierzytelnieni użytkownicy o niskich uprawnieniach mogą wysyłać żądania do tych punktów końcowych, aby modyfikować rekordy magazynowe poza zakresem dozwolonym przez ich rolę.

W Frappe ERPNext przed wersją 15.119.0 oraz w gałęzi 16.x przed 16.31.0 występuje luka braku autoryzacji. Niektóre endpointy nie weryfikują, czy wywołujący ma prawo odczytać dokument, zanim wyślą o nim e-mail transakcyjny. Uwierzytelniony atakujący może wywołać te endpointy, aby wywołać wysyłkę e-maila transakcyjnego dotyczącego dokumentów, do których nie ma uprawnień.

Frappe ERPNext przed wersją 15.119.0 oraz 16.x przed 16.31.0 zawiera podatność typu stored XSS, ponieważ pola rekordów są renderowane w kontekście atrybutu HTML bez escapowania. Użytkownik z niskimi uprawnieniami może zapisać złośliwy ładunek w polu rekordu, który wykona się w przeglądarce uprzywilejowanego użytkownika otwierającego podatną stronę.

Frappe ERPNext przed wersją 15.119.1 oraz 16.x przed 16.32.0 zawiera podatność typu server-side template injection, ponieważ pola wiadomości kontrolowane przez użytkownika nie są walidowane przed renderowaniem szablonu, co pozwala na wykonywanie wyrażeń w nieograniczonym kontekście. Uwierzytelniony atakujący z typową rolą operacyjną może wstrzykiwać wyrażenia szablonu, aby odczytywać i zapisywać dowolne dane w bazie danych, usuwać dokumenty, wysyłać żądania wychodzące z serwera oraz wysyłać pocztę z witryny.

W Frappe ERPNext przed wersją 15.112.0 oraz w gałęzi 16.x przed 16.23.0 występuje luka typu server-side request forgery (SSRF). Pole konfiguracyjne, które mogą zapisywać typowe role operacyjne, przyjmuje dowolny adres docelowy żądań wychodzących bez walidacji. Uwierzytelniony atakujący może ustawić to pole na wybrane hosty, zmuszając serwer do wysyłania żądań do adresów osiągalnych tylko z sieci wewnętrznej wdrożenia.

W Frappe ERPNext przed wersją 15.112.0 oraz w gałęzi 16.x przed 16.23.0 występuje luka braku autoryzacji. Niektóre endpointy nie egzekwują prawidłowych kontroli uprawnień. Uwierzytelnieni użytkownicy o niskich uprawnieniach mogą wysyłać żądania do tych endpointów, aby odczytać dane osobowe wykraczające poza zakres ich roli.

W Frappe ERPNext przed wersją 15.102.0 oraz w gałęzi 16.x przed 16.11.0 występuje luka SQL injection w niektórych endpointach z powodu braku walidacji danych wejściowych, co pozwala na manipulację zapytaniami do bazy danych. Uwierzytelniony atakujący może wysyłać specjalnie spreparowane żądania do podatnych endpointów, aby wyodrębnić wrażliwe informacje z bazy danych.

W Frappe ERPNext przed wersją 15.106.0 oraz w gałęzi 16.x przed 16.16.0 występuje luka SQL injection w niektórych endpointach z powodu braku walidacji danych wejściowych. Uwierzytelniony atakujący może wysyłać specjalnie spreparowane żądania, aby wstrzyknąć SQL do zapytań bazy danych i wyodrębnić wrażliwe informacje z bazy.

W Frappe ERPNext przed wersją 15.106.0 oraz w gałęzi 16.x przed 16.16.0 występuje luka SQL injection w wielu endpointach spowodowana brakiem walidacji danych wejściowych. Uwierzytelniony atakujący może wysyłać specjalnie spreparowane żądania do tych endpointów, aby manipulować zapytaniami do bazy i wyodrębnić wrażliwe informacje z bazy ERPNext.

W Frappe ERPNext przed wersją 15.106.0 oraz w gałęzi 16.x przed 16.16.0 występuje luka SQL injection w niektórych endpointach z powodu braku walidacji danych wejściowych. Uwierzytelnieni atakujący o niskich uprawnieniach mogą wysyłać specjalnie spreparowane żądania do tych endpointów, aby wstrzyknąć SQL i wyodrębnić wrażliwe informacje z bazy danych.

W Frappe ERPNext przed wersją 15.119.0 oraz w gałęzi 16.x przed 16.31.0 występuje luka braku autoryzacji. Niektóre endpointy nie egzekwują prawidłowych kontroli uprawnień. Uwierzytelniony atakujący może wysyłać żądania do tych endpointów, aby tworzyć rekordy i modyfikować dane poza zakresem swojej roli, omijając ograniczenia oparte na rolach.

W Frappe ERPNext przed wersją 15.119.0 oraz w gałęzi 16.x przed 16.31.0 występuje luka braku autoryzacji. Niektóre endpointy nie egzekwują prawidłowych kontroli uprawnień na danych wyceny. Uwierzytelnieni użytkownicy o niskich uprawnieniach mogą odpytywać te endpointy, aby odczytać informacje o wycenie poza zakresem swojej roli.

W Frappe ERPNext przed wersją 15.111.0 oraz w gałęzi 16.x przed 16.22.0 występuje luka braku autoryzacji w niektórych endpointach związanych z projektami, które nie egzekwują kontroli uprawnień. Uwierzytelnieni użytkownicy o niskich uprawnieniach mogą wywoływać te endpointy bezpośrednio, aby odczytać dane projektowe poza zakresem swojej roli.

W Frappe ERPNext przed wersją 15.110.0 oraz w gałęzi 16.x przed 16.21.0 występuje luka braku autoryzacji. Niektóre endpointy nie egzekwują poprawnych kontroli uprawnień, co pozwala uwierzytelnionym użytkownikom odczytywać dane wykraczające poza ich rolę.

W Frappe ERPNext przed wersją 15.110.0 oraz w gałęzi 16.x przed 16.21.0 występuje luka braku autoryzacji w niektórych endpointach. Nieuwierzytelnieni zdalni atakujący mogą wywoływać te endpointy, aby tworzyć rekordy i sprawdzać dostępność, nawet gdy administrator wyłączył odpowiednią funkcję.

Frappe ERPNext przed wersją 16.22.0 zawiera podatność typu missing authorization, która pozwala uwierzytelnionym użytkownikom modyfikować rekordy poprzez wywoływanie punktów końcowych bez odpowiednich kontroli autoryzacji. Atakujący mogą wywoływać te punkty końcowe, aby wykonywać operacje na rekordach poza swoją rolą.

W Frappe ERPNext przed wersją 15.102.0 oraz w gałęzi 16.x przed 16.8.0 występuje luka SQL injection w niektórych endpointach z powodu braku walidacji danych wejściowych. Uwierzytelnieni atakujący z niskimi uprawnieniami mogą wysyłać specjalnie spreparowane żądania, aby wyodrębnić poufne informacje z bazy danych.

W Frappe ERPNext przed wersją 15.110.0 oraz w gałęzi 16.x przed 16.21.0 występuje luka SQL injection w niektórych endpointach spowodowana brakiem walidacji danych wejściowych. Uwierzytelnieni atakujący mogą wysyłać specjalnie spreparowane żądania, aby manipulować zapytaniami do bazy danych i wyodrębnić poufne informacje.

W Frappe ERPNext przed wersją 16.14.0 występuje luka braku autoryzacji, która pozwala uwierzytelnionym użytkownikom modyfikować dane podstawowe (master data) wykraczające poza ich uprawnienia. Atakujący mogą wysyłać żądania do niektórych endpointów bez odpowiednich kontroli autoryzacji, aby dokonywać nieautoryzowanych zmian w rekordach danych podstawowych.

W Frappe ERPNext przed wersją 15.115.0 oraz w gałęzi 16.x przed 16.26.0 występuje luka braku autoryzacji, ponieważ niektóre endpointy nie egzekwują poprawnych kontroli uprawnień. Uwierzytelnieni atakujący z kontami o niskich uprawnieniach mogą wywoływać te endpointy, aby odczytywać dane finansowe wykraczające poza ich rolę.

W Frappe ERPNext przed wersją 15.105.0 oraz w gałęzi 16.x przed 16.15.0 występuje luka braku autoryzacji w niektórych endpointach tworzenia dokumentów, które nie weryfikują, czy żądający użytkownik portalu należy do docelowej strony. Uwierzytelnieni użytkownicy portalu mogą wysyłać żądania do tych endpointów, aby tworzyć dokumenty w imieniu stron innych niż ich własna.

W Frappe ERPNext przed wersją 15.121.0 oraz w gałęzi 16.x przed 16.34.0 występuje luka SQL injection w niektórych endpointach z powodu braku walidacji danych wejściowych. Uwierzytelnieni atakujący z wysokimi uprawnieniami mogą wysyłać specjalnie spreparowane żądania, aby wstrzyknąć SQL i wyodrębnić poufne informacje z bazy danych.

Frappe ERPNext przed wersją 15.119.1 oraz 16.x przed 16.32.0 zawiera podatność typu stored XSS, ponieważ treści przesyłane przez publiczną stronę rezerwacji są przechowywane bez neutralizacji. Nieuwierzytelnieni atakujący mogą przesłać spreparowaną treść, która jest renderowana jako surowy HTML w sesji uprzywilejowanego użytkownika, wykonując skrypt w jego kontekście.

W Frappe ERPNext przed wersją 15.121.0 oraz w gałęzi 16.x przed 16.33.0 występuje luka braku autoryzacji, w której niektóre endpointy nie egzekwują poprawnych kontroli uprawnień. Uwierzytelnieni użytkownicy mogą wywoływać te endpointy bezpośrednio, aby odczytywać dane wykraczające poza ich rolę.

W Frappe ERPNext przed wersją 15.119.1 oraz w gałęzi 16.x przed 16.32.0 występuje luka SQL injection w niektórych endpointach, które nie walidują danych wejściowych, co pozwala spreparowanym danym zmieniać zapytania do bazy danych. Uwierzytelnieni atakujący z niskimi uprawnieniami mogą wysyłać specjalnie spreparowane żądania, aby wyodrębnić poufne informacje z bazy danych.

Frappe ERPNext przed wersją 15.121.0 oraz 16.x przed 16.34.0 zawiera podatność braku autoryzacji, w której niektóre punkty końcowe nie egzekwują odpowiednich kontroli uprawnień. Uwierzytelnieni atakujący mogą wywoływać te punkty, aby odczytać dane wykraczające poza ich przypisaną rolę.

Frappe ERPNext przed wersją 15.121.3 oraz 16.x przed 16.35.0 zawiera podatność braku autoryzacji w punkcie końcowym wysyłającym transakcyjne e-maile przez skonfigurowane konto wychodzące bez sprawdzania uprawnień wywołującego. Każdy uwierzytelniony użytkownik może podać dowolne listy odbiorców i treść wiadomości, wysyłając wiadomości kontrolowane przez atakującego z tożsamością nadawcy organizacji.

Frappe ERPNext przed wersją 15.121.0 oraz 16.x przed 16.34.0 zawiera podatność braku autoryzacji w niektórych punktach końcowych, które nie egzekwują odpowiednich kontroli ról podczas modyfikowania statusu rekordów. Uwierzytelnieni atakujący z niskimi uprawnieniami mogą wywoływać te punkty, aby zmieniać dane wykraczające poza ich dozwoloną rolę, naruszając integralność danych.

Frappe ERPNext przed wersją 15.120.0 oraz 16.x przed 16.33.0 zawiera podatność braku autoryzacji, w której niektóre punkty końcowe nie egzekwują odpowiednich kontroli uprawnień. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą bezpośrednio wywoływać te punkty, aby odczytać dane finansowe wykraczające poza ich przypisaną rolę.

Frappe ERPNext przed wersją 16.34.2 zawiera podatność wstrzykiwania SQL spowodowaną brakiem walidacji danych wejściowych w wielu punktach końcowych. Uwierzytelnieni atakujący z niskimi uprawnieniami mogą wysyłać specjalnie spreparowane żądania do tych punktów, aby wstrzyknąć SQL i wyodrębnić wrażliwe informacje z bazy danych.

Frappe ERPNext przed wersją 15.121.3 oraz 16.x przed 16.35.0 zawiera podatność braku autoryzacji w niektórych punktach końcowych, które nie egzekwują kontroli autoryzacji opartej na rolach. Uwierzytelnieni użytkownicy mogą wywoływać te punkty, aby odczytać dane finansowe wykraczające poza uprawnienia przyznane ich roli.