Stored XSS in der Berichtsansicht von Frappe ERPNext ermöglicht authentifizierten Benutzern die Ausführung von Skripten (CVE-2026-109612)

Was passiert ist

Die Berichtsansicht von ERPNext übernimmt gespeicherte Datensatznamen in das Markup der Seite, ohne sie für die HTML-Ausgabe zu maskieren. Ein authentifizierter Benutzer mit der Berechtigung zum Anlegen von Datensätzen kann einen präparierten Namen speichern, der Skriptcode enthält. Öffnet eine andere Person später diese Berichtsansicht, wird das Skript in ihrer ERPNext-Sitzung ausgeführt.

Die Schwachstelle ist über das Netzwerk erreichbar. Der Angreifer benötigt lediglich ein Konto mit geringen Berechtigungen; das Opfer muss nur wie gewohnt einen Bericht öffnen, damit der Code ausgeführt wird. Der Basiswert nach CVSS 4.0 liegt bei 8,5 (hoch). Die Auswirkungen auf Vertraulichkeit und Integrität in der Sitzung des Opfers sind hoch, die Verfügbarkeit ist nicht betroffen.

Es liegen keine Berichte über eine Ausnutzung vor, und der Katalog „Known Exploited Vulnerabilities“ der CISA führt die Schwachstelle nicht auf.

Wer betroffen ist

Betroffen sind ERPNext-Versionen vor 15.120.0. In der 16.x-Linie sind alle Versionen ab 16.0.0-beta.1 bis ausschließlich 16.33.0 betroffen. ERPNext ist eine Anwendung für Enterprise Resource Planning; betroffen ist die Berichtsansicht, die authentifizierte Benutzer im normalen Arbeitsalltag öffnen.

Was jetzt zu tun ist

Im Herstellerhinweis ist kein Workaround veröffentlicht.

1. Aktualisieren Sie ERPNext auf eine korrigierte Version: 15.120.0 für Versionen vor 15.120.0 oder 16.33.0 für Versionen der 16.x-Linie.
2. Stellen Sie sicher, dass alle verbundenen Instanzen aktualisiert sind, einschließlich Staging- und Entwicklungsumgebungen.
3. Schränken Sie bis zum Einspielen des Updates die Berechtigung zum Anlegen von Datensätzen für Benutzer ein, die sie nicht benötigen, da präparierte Datensatznamen die gespeicherten Eingaben sind, die dieser Schwachstelle zugrunde liegen.

Über den Patch hinaus

Über das unmittelbare Update hinaus ist dies ein Abhängigkeitsproblem: ERPNext ist Herstellersoftware, und die Geschwindigkeit, mit der der Hersteller Sicherheitsupdates bereitstellt, bestimmt Ihre Gefährdung. Nachzuverfolgen, welche Anwendungen Sie betreiben und wie schnell deren Maintainer Stored-XSS-Schwachstellen beheben, ist Lieferkettenrisikomanagement, das Lieferkettenschutz & Drittparteirisiko abdeckt. Wenn Ihre ERPNext-Instanz über den Browser erreichbar ist oder gemeinsam mit Partnern genutzt wird, lassen sich mit Implementierungsleistungen & Sicherheitsbewertungen ein Penetrationstest und eine Härtungsprüfung der Berichtsansichten und ähnlicher Verarbeitungspfade für gespeicherte Eingaben durchführen, bevor die nächste Schwachstelle ausgenutzt wird.