Rechteausweitung in Frappe ERPNext erlaubt authentifizierten Benutzern, privilegierte Konten anzulegen (CVE-2026-109667)

Was passiert ist

Frappe ERPNext enthält eine Schwachstelle zur Rechteausweitung in einem Endpunkt für die Datensatzerstellung. Der Endpunkt übernimmt den Datensatztyp aus der Anfrage und legt den Datensatz mit deaktivierten Berechtigungsprüfungen an. Da der Datensatztyp nicht eingeschränkt ist, kann jeder authentifizierte Benutzer – auch eine Person ohne operative Rolle – einen privilegierten Datensatztyp übermitteln. Dadurch kann ein Konto mit geringen Berechtigungen weitere privilegierte Konten anlegen und schließlich die vollständige Kontrolle über die ERPNext-Instanz übernehmen. Die Schwachstelle ist über das Netzwerk erreichbar, erfordert keine Benutzerinteraktion und hat einen CVSS-4.0-Wert von 8,7 (hoch). Im CVE-Eintrag wird nicht angegeben, dass eine Ausnutzung in freier Wildbahn beobachtet wurde.

Wer betroffen ist

Betroffen sind erpnext vor 15.111.0 sowie erpnext 16.0.0-beta.1 und alle folgenden 16.x-Versionen vor 16.22.0. Falls Sie ERPNext einsetzen, prüfen Sie, ob Ihre Version in einen dieser Bereiche fällt. Die Schwachstelle liegt im Kernprodukt und ist für jeden authentifizierten Benutzer erreichbar; die Gefährdung ist daher nicht auf Administratoren oder Benutzer mit operativer Rolle beschränkt.

Was jetzt zu tun ist

1. Spielen Sie die Sicherheitsupdates sofort ein. Frappe hat erpnext 15.111.0 für die 15.x-Reihe und erpnext 16.22.0 für die 16.x-Reihe veröffentlicht. Aktualisieren Sie auf das passende korrigierte Release.
2. In den verfügbaren Sicherheitshinweisen ist keine Problemumgehung aufgeführt; das Einspielen der Sicherheitsupdates ist daher die primäre Behebung.
3. Bis die Sicherheitsupdates vollständig eingespielt sind, reduzieren Sie die Zahl der Konten, die sich an der ERPNext-Instanz authentifizieren können, da jedes authentifizierte Konto den betroffenen Endpunkt erreichen kann.
4. Überprüfen Sie vorhandene privilegierte Konten und entfernen oder deaktivieren Sie alle, die sich keiner legitimen geschäftlichen Änderung zuordnen lassen.

Wie man es erkennt

Prüfen Sie die ERPNext-Benutzerlisten auf neue Konten mit hohen Berechtigungen, insbesondere auf Konten, die von Benutzern angelegt wurden, die das System normalerweise nicht verwalten. Die Schwachstelle ermöglicht das Anlegen privilegierter Konten; ein unerklärliches privilegiertes Konto ist daher das unmittelbarste Anzeichen für eine Ausnutzung. Im CVE-Eintrag werden keine vom Hersteller veröffentlichten Indikatoren für eine Kompromittierung genannt.

Über den Patch hinaus

Dieser Vorfall erfordert in erster Linie ein rasches Einspielen der Sicherheitsupdates. Die eigentliche Lehre ist jedoch: Der Schritt von einem Konto mit geringen Berechtigungen zur vollständigen Kontrolle ist dann am gefährlichsten, wenn niemand den Zwischenschritt bemerkt. Managed Detection & Response ist genau für solche Fälle ausgelegt: EDR- und SIEM-Telemetrie kann Alarm schlagen, wenn ein nicht privilegierter Benutzer plötzlich privilegierte Konten anlegt. Für Teams, die ERPNext zusammen mit anderen Geschäftsanwendungen betreiben, hilft Lieferkettenschutz & Drittparteirisiko dabei, nachzuvollziehen, welche Versionen Sie einsetzen und wie schnell Anbieter Korrekturen liefern. So erreicht ein Sicherheitshinweis wie dieser die richtige verantwortliche Person, solange das Einspielen der Sicherheitsupdates noch unkompliziert ist.