Podatności Frappe ERPNext

Frappe ERPNext przed wersją 15.120.0 oraz 16.x przed 16.33.0 zawiera podatność braku autoryzacji w niektórych punktach końcowych, które nie egzekwują odpowiednich kontroli uprawnień. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą wywoływać te punkty, aby odczytać dane osobowe wykraczające poza ich przypisaną rolę.

Frappe ERPNext przed wersją 15.121.1 oraz 16.x przed 16.34.2 zawiera podatność braku autoryzacji w niektórych punktach końcowych, które nie egzekwują odpowiednich kontroli autoryzacji. Uwierzytelnieni atakujący mogą wysyłać żądania do tych punktów, aby modyfikować dokumenty i dane wykraczające poza ich przypisaną rolę.

Frappe ERPNext przed wersją 15.121.0 oraz 16.x przed 16.34.0 zawiera podatność braku autoryzacji, w której niektóre punkty końcowe nie egzekwują odpowiednich kontroli autoryzacji. Uwierzytelnieni użytkownicy mogą wysyłać żądania do dotkniętych punktów, aby modyfikować dane wykraczające poza ich dozwoloną rolę, naruszając integralność danych.

Frappe ERPNext przed wersją 15.120.0 oraz 16.x przed 16.23.0 zawiera obejście autoryzacji w punkcie końcowym, który honoruje dostarczony przez wywołującego flagę wyłączającą własne egzekwowanie uprawnień. Uwierzytelnieni atakujący mogą ustawić tę flagę podczas wywoływania punktu, aby pominąć kontrole uprawnień i odczytać rekordy stron wykraczające poza ich dozwoloną rolę.

Frappe ERPNext przed wersją 15.121.0 oraz 16.x przed 16.34.0 zawiera podatność typu missing authorization w niektórych punktach końcowych, które nie wymuszają właściwych kontroli autoryzacji podczas tworzenia dokumentów. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą wysyłać żądania do tych punktów końcowych, aby tworzyć dokumenty w kontekście rekordów poza swoją rolą, omijając ograniczenia oparte na rolach.

Frappe ERPNext przed wersją 15.121.3 oraz 16.x przed 16.35.0 zawiera podatność typu missing authorization, w której niektóre punkty końcowe nie wymuszają właściwych kontroli autoryzacji. Uwierzytelnieni użytkownicy mogą wysyłać żądania do tych punktów końcowych, aby modyfikować dane poza zakresem dozwolonym przez ich rolę.

W Frappe ERPNext przed wersją 15.121.0 oraz 16.x przed 16.34.0 występuje brak kontroli autoryzacji w niektórych endpointach, które nie egzekwują sprawdzania uprawnień podczas tworzenia dokumentów. Uwierzytelnieni użytkownicy o niskich uprawnieniach mogą wywołać te endpointy, aby tworzyć dokumenty w rekordach poza zakresem ich roli, omijając kontrolę dostępu opartą na rolach.

W Frappe ERPNext przed wersją 16.34.0 występuje brak kontroli autoryzacji, który pozwala uwierzytelnionym użytkownikom odczytywać dane finansowe poza zakresem ich roli. Atakujący mogą odpytywać endpointy pozbawione właściwych sprawdzeń autoryzacji, aby uzyskać dostęp do wrażliwych rekordów finansowych, których nie powinni widzieć.

W Frappe ERPNext przed wersją 15.121.0 oraz w gałęzi 16.x przed 16.34.0 występuje luka braku autoryzacji. Niektóre endpointy nie egzekwują poprawnych kontroli dostępu przy modyfikacji statusu dokumentów, co pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach modyfikować dane poza przysługującą im rolą.

W Frappe ERPNext przed wersją 15.120.0 oraz w gałęzi 16.x przed 16.33.0 występuje luka trwałego skryptu krzyżowego (stored XSS) w widoku raportu. Nazwy rekordów są wstawiane do znaczników bez escapowania, więc uwierzytelniony użytkownik mogący tworzyć rekordy może zapisać złośliwą nazwę, która wykona skrypt w sesji każdego, kto otworzy raport.

W Frappe ERPNext przed wersją 15.121.0 oraz 16.x przed 16.34.0 występuje brak kontroli autoryzacji w niektórych endpointach, które nie egzekwują właściwych sprawdzeń uprawnień. Uwierzytelnieni użytkownicy mogą wywołać te endpointy, aby modyfikować dane poza zakresem przypisanej im roli.

W Frappe ERPNext przed wersją 15.119.1 oraz 16.x przed 16.32.0 występuje brak kontroli autoryzacji, ponieważ niektóre endpointy nie egzekwują właściwych sprawdzeń uprawnień. Uwierzytelnieni użytkownicy o niskich uprawnieniach mogą wywołać te endpointy, aby modyfikować dokumenty i dane poza zakresem przypisanej im roli.

W Frappe ERPNext przed wersją 15.119.1 oraz 16.x przed 16.32.0 występuje podatność SQL injection w niektórych endpointach, które nie walidują danych wejściowych. Uwierzytelnieni atakujący o niskich uprawnieniach mogą wysyłać specjalnie spreparowane żądania do tych endpointów, aby wstrzyknąć SQL i wyodrębnić wrażliwe informacje z bazy danych ERPNext.

W Frappe ERPNext przed wersją 15.121.0 oraz w gałęzi 16.x przed 16.34.0 występuje luka wstrzyknięcia SQL w kilku endpointach pozbawionych walidacji danych wejściowych. Każdy uwierzytelniony użytkownik, nawet bez przypisanych ról, może wysłać spreparowane żądania, aby odczytać dane innych użytkowników i eskalować do uprzywilejowanego konta.

W Frappe ERPNext przed wersją 15.112.0 oraz w gałęzi 16.x przed 16.23.0 występuje luka trwałego skryptu krzyżowego (stored XSS), ponieważ widok narzędzia wstawia nazwy rekordów do znaczników bez escapowania. Uwierzytelniony użytkownik mogący tworzyć takie rekordy może nadać im złośliwe nazwy, które wykonają skrypt w sesji każdego, kto otworzy narzędzie.

W Frappe ERPNext przed wersją 14.92.1 oraz w gałęzi 15.x przed 15.83.0 występuje luka odbitego skryptu krzyżowego (reflected XSS) z powodu braku walidacji danych wejściowych na pewnej stronie, co pozwala na wykonanie dowolnego JavaScriptu w uwierzytelnionych sesjach. Zdalny atakujący może nakłonić zalogowanego użytkownika do otwarcia spreparowanego adresu URL, aby wykonać wstrzyknięty skrypt i przejąć konto ofiary.

Frappe ERPNext w wersjach przed 16.34.1 nie weryfikuje, czy wartości calculation_formula w szablonach raportów finansowych odwołują się do dozwolonych metod, przed przekazaniem ich do frappe.call(). Menedżerowie kont mogą podać dowolne ścieżki Pythona, aby wywołać nieautoryzowane wewnętrzne metody serwera i odczytać ich wyniki.

Frappe ERPNext w wersjach przed 15.121.0 oraz 16.x przed 16.34.0 zawiera podatność na ujawnienie informacji w biało-listowanych punktach końcowych timesheet, które nie egzekwują uprawnień doctype. Uwierzytelnieni atakujący mogą wywołać get_projectwise_timesheet_data, get_timesheet_detail_rate i get_timesheet, aby wyliczyć i pobrać rozliczane dzienniki czasu, w tym nazwy projektów, kwoty rozliczeń i opisy prac, bez odpowiednich kontroli autoryzacji.

W Frappe ERPNext do wersji 15.89.0, funkcja get_outstanding_reference_documents() w pliku erpnext/accounts/doctype/payment_entry/payment_entry.py jest podatna na SQL Injection. Atakujący może wyodrębnić dowolne dane z bazy danych, wstrzykując ładunki SQL przez parametr to_posting_date, który jest bezpośrednio interpolowany do zapytania bez odpowiedniej sanityzacji lub wiązania parametrów.

W Frappe ERPNext do wersji 15.89.0, funkcja get_outstanding_reference_documents() w pliku erpnext.accounts.doctype.payment_entry.payment_entry.py jest podatna na SQL Injection. Atakujący może wyodrębnić dowolne dane z bazy danych, wstrzykując ładunki SQL przez parametr from_posting_date, który jest bezpośrednio interpolowany do zapytania bez odpowiedniej sanityzacji lub wiązania parametrów.

Podatność Server-Side Template Injection (SSTI) w mechanizmie renderowania formatów wydruku w Frappe ERPNext do wersji 15.89.0. Uwierzytelniony atakujący z uprawnieniami do tworzenia lub modyfikacji formatu wydruku może wstrzyknąć złośliwe wyrażenia Jinja do pola html, co po wywołaniu API get_html_and_style() prowadzi do ujawnienia informacji z bazy danych, takich jak wersja bazy, schemat czy wrażliwe dane.

W metodzie get_address_display w Frappe ERPNext do wersji 15.89.0 występuje podatność Server-Side Template Injection (SSTI). Uwierzytelniony atakujący z uprawnieniami do tworzenia lub modyfikowania szablonów adresów może wstrzyknąć złośliwe wyrażenia Jinja, co prowadzi do wykonania kodu po stronie serwera lub ujawnienia informacji z bazy danych.

W Frappe ERPNext do wersji 15.89.0 istnieje podatność SSTI (Server-Side Template Injection) w metodzie get_terms_and_conditions. Funkcja renderuje kontrolowane przez atakującego szablony Jinja2 (terms) za pomocą frappe.render_template() z kontekstem dostarczonym przez użytkownika (doc). Mimo że Frappe używa niestandardowego SandboxedEnvironment, niektóre niebezpieczne globalne obiekty, takie jak frappe.db.sql, są nadal dostępne w kontekście wykonania przez get_safe_globals(). Uwierzytelniony atakujący z dostępem do tworzenia lub modyfikowania dokumentu Warunki i zasady może wstrzyknąć dowolne wyrażenia Jinja do pola terms, co prowadzi do wykonania kodu po stronie serwera w ograniczonym, ale wciąż niebezpiecznym kontekście. Podatność może być wykorzystana do wycieku informacji z bazy danych.

W Frappe ERPNext do wersji 15.89.0 istnieje podatność SSTI (Server-Side Template Injection) w metodzie get_contract_template. Funkcja renderuje kontrolowane przez atakującego szablony Jinja2 (contract_terms) za pomocą frappe.render_template() z kontekstem dostarczonym przez użytkownika (doc). Mimo że Frappe używa niestandardowego SandboxedEnvironment, niektóre niebezpieczne globalne obiekty, takie jak frappe.db.sql, są nadal dostępne w kontekście wykonania przez get_safe_globals(). Uwierzytelniony atakujący z dostępem do tworzenia lub modyfikowania szablonu umowy może wstrzyknąć dowolne wyrażenia Jinja do pola contract_terms, co prowadzi do wykonania kodu po stronie serwera w ograniczonym, ale wciąż niebezpiecznym kontekście. Podatność może być wykorzystana do wycieku informacji z bazy danych.

W metodzie get_dunning_letter_text w Frappe ERPNext do wersji 15.89.0 występuje podatność Server-Side Template Injection (SSTI). Uwierzytelniony atakujący z dostępem do konfiguracji Dunning Type i powiązanej tabeli Dunning Letter Text może wstrzyknąć złośliwe wyrażenia Jinja, co prowadzi do wykonania kodu po stronie serwera i wycieku informacji z bazy danych.

Frappe ERPNext w wersji 12.29.0 zawiera podatność na ataki XSS. Oprogramowanie nie neutralizuje lub nieprawidłowo neutralizuje dane wejściowe kontrolowane przez użytkownika przed umieszczeniem ich w wynikach używanych jako strona internetowa serwowana innym użytkownikom.