Frappe ERPNext: Reflected XSS ermöglicht Kontoübernahme (CVE-2025-71432)

Was passiert ist

Frappe ERPNext vor 14.92.1 sowie in den 15.x-Versionen vor 15.83.0 enthält eine Reflected-XSS-Schwachstelle, die auf eine fehlende Eingabevalidierung auf einer bestimmten Seite zurückgeht. Ein entfernter Angreifer kann eine präparierte URL erstellen. Öffnet eine angemeldete Person diese URL, wird in ihrer authentifizierten Sitzung beliebiges JavaScript ausgeführt. Der Angreifer benötigt keinen vorherigen Zugriff auf das System, muss aber eine angemeldete Person dazu bringen, den Link zu öffnen. Der CVE-Eintrag beschreibt die Folge als Kontoübernahme. Der CVSS-4.0-Wert beträgt 8,6 und wird als hoher Schweregrad eingestuft. Der CVE-Eintrag verzeichnet keine aktive Ausnutzung und keine öffentliche Offenlegung.

Wer betroffen ist

Betroffen sind ERPNext vor 14.92.1 sowie ERPNext 15.0.0 bis vor 15.83.0. Der CVE-Eintrag nennt keine weiteren Produkte. Wenn Sie ERPNext auf dem 14.x- oder dem 15.x-Zweig betreiben, vergleichen Sie Ihren konkreten Build mit diesen korrigierten Versionen. Da eine angemeldete Person eine präparierte URL öffnen muss, sind Instanzen besonders gefährdet, in denen Benutzerinnen und Benutzer im angemeldeten Zustand mit Links oder E-Mails umgehen.

Was jetzt zu tun ist

1. Spielen Sie die korrigierten Versionen ein: Aktualisieren Sie auf ERPNext 14.92.1 im 14.x-Zweig oder auf ERPNext 15.83.0 im 15.x-Zweig. Dies sind die einzigen im CVE-Eintrag genannten korrigierten Versionen.
2. Inventarisieren Sie jede ERPNext-Instanz, einschließlich Test- und Satellitenbereitstellungen, und bestätigen Sie die jeweils laufende Version.
3. Im CVE-Eintrag ist keine Problemumgehung des Herstellers aufgeführt. Bis die Aktualisierungen abgeschlossen sind, schränken Sie den Netzwerkzugriff auf ERPNext auf vertrauenswürdige Benutzer und Netzwerke ein.
4. Überprüfen Sie privilegierte ERPNext-Konten auf Änderungen oder Ergänzungen, die Sie nicht autorisiert haben.
5. Erinnern Sie die Benutzerinnen und Benutzer daran, im angemeldeten Zustand nicht unerwarteten oder unaufgeforderten ERPNext-Links zu folgen.

Wie man es erkennt

Der CVE-Eintrag enthält keine spezifischen Indikatoren für eine Kompromittierung. Da die genannte Auswirkung eine Kontoübernahme ist, prüfen Sie die ERPNext-Authentifizierungsprotokolle auf Anmeldungen von neuen Standorten oder Geräten und kontrollieren Sie Konten mit hohen Berechtigungen auf unerklärliche Berechtigungsänderungen oder neue Zugangsdaten.

Über den Patch hinaus

ERPNext steht im Zentrum vieler Geschäftsprozesse, daher ist eine Kontoübernahme ein schwerwiegendes betriebliches Ereignis. Da diese Schwachstelle ohne Zugangsdaten über das Netzwerk erreichbar ist, gehört die Verringerung der exponierten ERPNext-Zugriffe zur langfristigen Lösung. Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, diese Angriffsfläche zu erfassen und zu verringern. Mit Implementierungs- und Bewertungsleistungen lassen sich eine aus dem Internet erreichbare ERPNext-Bereitstellung und ihre Härtungsmaßnahmen testen.