Frappe Framework: Serverseitige Template-Injektion in Nachrichtenfeldern ermöglicht authentifizierten Angreifern hohe Auswirkungen auf den Server (CVE-2026-119144)

Was passiert ist

CVE-2026-119144 ist eine Schwachstelle durch serverseitige Template-Injektion im Frappe Framework. Nachrichtenfelder, die von Benutzern gesteuert werden können, werden ohne Neutralisierung an den Template-Renderer übergeben. Ein authentifizierter Angreifer kann dadurch Template-Ausdrücke in diese Felder einbringen, und der Server wertet diese anschließend in einem uneingeschränkten Kontext aus. Der CVSS-4.0-Eintrag beschreibt die Schwachstelle als über das Netzwerk erreichbar mit niedrigen Berechtigungen und ohne Benutzerinteraktion nach erfolgter Authentifizierung.

Der CVSS-Wert beträgt 8,7 und wird als hoch eingestuft. Die Auswirkungen auf die betroffene Komponente sind in Bezug auf Vertraulichkeit, Integrität und Verfügbarkeit hoch; auf nachgelagerte Systeme bestehen keine Auswirkungen. Der CVE-Eintrag führt keine aktive Ausnutzung oder öffentliche Offenlegung auf, und CISA KEV enthält keinen Eintrag zu dieser CVE.

Wer betroffen ist

Betroffenes Produkt: Frappe Framework. Betroffen sind die Versionen der 16.x-Linie von 16.0.0 bis unter 16.21.0 sowie alle Versionen vor 15.111.0. Wenn Sie eine Version vor 15.111.0 oder eine 16.x-Version vor 16.21.0 einsetzen, sind Sie betroffen. Installationen, bei denen authentifizierte Benutzer mit üblichen operativen Rollen Nachrichtenfelder übermitteln können, sollten das Einspielen von Sicherheitsupdates als vorrangig behandeln.

Was jetzt zu tun ist

1. Führen Sie ein Upgrade auf eine korrigierte Version durch. Die korrigierten Versionen sind frappe 15.111.0 und frappe 16.21.0. Verwenden Sie frappe 15.111.0 für Installationen mit einem Versionsstand vor 15.111.0 und frappe 16.21.0 für Installationen der 16.x-Linie.
2. Ermitteln Sie Ihre aktuelle Frappe-Framework-Version und spielen Sie Sicherheitsupdates auf betroffenen Systemen über Ihren üblichen Änderungsmanagementprozess ein. Priorisieren Sie dabei Instanzen, die über das Netzwerk erreichbar sind.
3. In den Referenzen zu diesem Sicherheitshinweis wurde keine Problemumgehung veröffentlicht. Behandeln Sie das Einspielen von Sicherheitsupdates als primäre Sicherheitsmaßnahme.

Über den Patch hinaus

Dies ist die Art von Korrektur am Upstream-Framework, die erst dann hilft, wenn Sie wissen, wo die Komponente eingesetzt wird und wie schnell Ihr Team handeln kann. Für Organisationen, die Frappe Framework einsetzen, besteht die Aufgabe nach einer solchen Korrektur darin, zu wissen, wo sich die einzelnen Instanzen befinden und wie schnell die Sicherheitsupdates eingespielt werden können. Der Lieferkettenschutz & Drittparteirisiko von Spirity verfolgt Patch-Zyklen von Lieferanten und Open-Source-Komponenten sowie Expositionsfenster; Implementierungs- und Bewertungsleistungen können prüfen, wie eine Frappe-Installation mit benutzergesteuerten Feldern umgeht, und die Pfade beim Template-Rendering überprüfen.