Gespeicherte XSS-Schwachstelle auf der öffentlichen Buchungsseite von Frappe ERPNext ermöglicht Kontoübernahme (CVE-2026-109633)

Was passiert ist

Die öffentlich zugängliche Buchungsseite von ERPNext nimmt Inhalte von Besuchern ohne vorherige Authentifizierung entgegen und speichert sie, ohne den HTML-Code zu neutralisieren. Wenn eine privilegierte Person die betroffene Seite später aufruft, werden die übermittelten Inhalte als unverarbeiteter HTML-Code wiedergegeben, sodass vom Angreifer eingebrachtes JavaScript in der Sitzung dieser Person ausgeführt wird. Der Angreifer kann als diese Person handeln, Geschäftsdaten lesen und verändern sowie das Konto übernehmen. Der CVSS-4.0-Basiswert beträgt 8,6; die Auswirkungen auf Vertraulichkeit und Integrität sind hoch, auf die Verfügbarkeit bestehen keine Auswirkungen.

Die einzige Voraussetzung für einen erfolgreichen Angriff ist eine passive Interaktion einer privilegierten Person, etwa das Aufrufen oder Durchsehen der Buchungsseite. Der Angreifer benötigt keine vorherigen Zugangsdaten und kann die Seite über das Netzwerk erreichen. Der CVE-Eintrag meldet keine aktive Ausnutzung, und die Schwachstelle ist nicht im KEV-Katalog der CISA enthalten.

Wer betroffen ist

Betroffen sind Frappe ERPNext vor Version 15.119.1 sowie Versionen von 16.0.0-beta.1 bis vor 16.32.0. Jede Installation, die eine dieser Versionen mit aktivierter öffentlicher Buchungsseite betreibt, sollte überprüft werden. Das Risiko konzentriert sich dort, wo Besucher ohne vorherige Authentifizierung diese Seite erreichen können und eine privilegierte Person die eingegangenen Inhalte prüft.

Was jetzt zu tun ist

1. Aktualisieren Sie auf eine korrigierte Version: ERPNext 15.119.1 für die 15.x-Versionslinie oder ERPNext 16.32.0 für die 16.x-Versionslinie.
2. Wenn sich das Update nicht sofort einspielen lässt, schränken Sie den Zugriff auf die öffentliche Buchungsseite ein oder deaktivieren Sie sie, bis die korrigierte Version installiert ist.
3. Behandeln Sie vor dem Einspielen des Sicherheitsupdates erstellte Buchungseinträge als nicht vertrauenswürdig. Lassen Sie eine privilegierte Person sie auf unerwartete HTML- oder Skriptinhalte prüfen, bevor der normale Betrieb wieder aufgenommen wird.

Für diese Schwachstelle ist kein gesonderter Workaround aufgeführt.

Wie man es erkennt

Prüfen Sie vorhandene Buchungseinträge auf unverarbeiteten HTML-Code oder Skriptfragmente, insbesondere Einträge, die vor dem Sicherheitsupdate erstellt wurden. Überwachen Sie privilegierte Konten, die Buchungsseiten aufrufen, auf unerwartete Änderungen an Passwörtern, Rollen oder Geschäftsdaten. Die gespeicherte Nutzlast wird über öffentliche Buchungen eingereicht und in der Sitzung einer privilegierten Person ausgeführt; diese Buchungseinträge sind daher der zentrale Angriffspunkt.

Über den Patch hinaus

Hierbei handelt es sich um einen öffentlichen Eingabepfad, der direkt in eine privilegierte Sitzung führt. Das zugrunde liegende Risiko ist daher eine ungeschützte Vertrauensgrenze und nicht nur ein versäumtes Sicherheitsupdate. Nachdem das Update eingespielt wurde, lassen Sie die öffentlich erreichbare ERPNext-Instanz durch einen Penetrationstest und eine Überprüfung der Härtung überprüfen. Verringern Sie außerdem die Wahrscheinlichkeit, dass ungeschützte Dienste erneut auftreten, mit Virtual CISO Services (vCISO). Wenn ein Dienstleister Ihre ERPNext-Instanz betreibt, verfolgen Sie dessen Patch-Verhalten mit Lieferkettenschutz & Drittparteienrisiko.