SQL-Injection in Frappe ERPNext ermöglicht jedem authentifizierten Benutzer eine Rechteausweitung auf ein privilegiertes Konto (CVE-2026-109608)

Was passiert ist

Frappe ERPNext weist in mehreren Endpunkten ohne Eingabevalidierung eine SQL-Injection auf. Ein Angreifer, der sich an der Anwendung authentifizieren kann – auch ohne zugewiesene Rollen –, kann speziell gestaltete Anfragen an diese Endpunkte senden. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität und ohne Benutzerinteraktion erreichbar; daher genügt jedes gültige Konto, um sie auszunutzen.

Über die Injection lassen sich sensible Daten anderer Benutzer lesen und die eigenen Rechte auf ein privilegiertes Konto ausweiten. Der CVSS-4.0-Wert beträgt 8,7 (hoher Schweregrad), mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit innerhalb der ERPNext-Instanz.

Der CVE-Eintrag enthält keine Angaben zu einer Ausnutzung, und der KEV-Katalog der CISA führt diese Schwachstelle nicht.

Wer betroffen ist

Betroffen sind erpnext vor 15.121.0 sowie erpnext von 16.0.0-beta.1 bis vor 16.34.0. Da ERPNext in der Regel sensible Geschäftsdaten enthält, ist dies für jede Installation relevant, bei der ein Angreifer auch nur ein Konto mit geringen Rechten und ohne zugewiesene Rollen erlangen kann. Installationen auf den betroffenen Versionszweigen sollten unabhängig davon, wie sie gehostet werden, als betroffen behandelt werden.

Was jetzt zu tun ist

1. Sicherheitsupdates einspielen. Aktualisieren Sie betroffene Installationen auf erpnext 15.121.0 im Versionszweig 15 oder auf erpnext 16.34.0 im Versionszweig 16. Dies sind die im Sicherheitshinweis genannten korrigierten Versionen.
2. Falls das Einspielen der Sicherheitsupdates verschoben werden muss, verringern Sie die Angriffsfläche, indem Sie den Netzwerkzugriff auf die Anwendung auf vertrauenswürdige Benutzer und Netzwerke beschränken. Die Schwachstelle setzt eine gültige authentifizierte Sitzung voraus. Wenn Sie einschränken, wer die Anwendung erreichen kann, und die Kontoerstellung überprüfen, senken Sie das kurzfristige Risiko.
3. Überprüfen Sie nach der Aktualisierung Konten und Berechtigungen auf neue privilegierte Konten oder unerwartete Rollenzuweisungen, die vor dem Sicherheitsupdate angelegt wurden.

Es wurde keine Problemumgehung veröffentlicht.

Über den Patch hinaus

Dies ist eine Erinnerung daran, dass authentifizierter Zugriff nicht mit vertrauenswürdigem Zugriff gleichzusetzen ist: Ein Konto mit geringen Rechten genügte, um über eine SQL-Injection sensible Daten zu lesen und eine Rechteausweitung zu erreichen. Ein Penetrationstest und eine Härtungsprüfung können genau diese Art von Schwachstelle in nicht validierten Endpunkten finden, bevor jemand anderes sie findet. Gleichzeitig lässt sich durch die Nachverfolgung, wie schnell Upstream-Releases von ERPNext Sicherheitsupdates erhalten und übernommen werden, vermeiden, dass Installationen lange exponiert bleiben. Implementierungs- und Bewertungsleistungen decken Tests und Härtung ab, und Lieferkettenschutz und Drittparteienrisiko hilft Ihnen, Patchzyklen der Lieferanten und die von Ihnen eingesetzten Versionen zu verfolgen.