Path-Traversal bei Datei-Uploads in Frappe ermöglicht Remotecodeausführung für authentifizierte Benutzer (CVE-2026-119145)

Was passiert ist

Die Datei-Upload-Verarbeitung von Frappe überprüft den Zielpfad nicht, bevor Dateien auf den Datenträger geschrieben werden. Dadurch kann ein authentifizierter Angreifer mit geringen Berechtigungen die Schwachstelle über das Netzwerk ohne Benutzerinteraktion ausnutzen. Ein manipulierter Upload kann außerhalb des vorgesehenen Speicherverzeichnisses gespeichert werden, was zu einer Remotecodeausführung auf dem Server führt. Die Schwachstelle ist als Path-Traversal nach CWE-22 eingestuft und hat einen CVSS-4.0-Wert von 9,4 (kritisch). Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind sowohl auf dem betroffenen System als auch auf nachgelagerten Systemen hoch.

Der CVE-Eintrag enthält keine Hinweise auf aktive Ausnutzung oder eine öffentliche Offenlegung.

Wer betroffen ist

Frappe-Installationen sind in zwei Release-Linien betroffen. Die 15.x-Linie ist vor Version 15.121.0 verwundbar. Die 16.x-Linie ist von Version 16.0.0 an bis vor Version 16.34.0 verwundbar. Jede Installation, in der authentifizierte Benutzer Dateien hochladen können, ist gefährdet. Der Angriff erfolgt über das Netzwerk und erfordert nur geringe Berechtigungen; besonders wahrscheinliche Ziele sind daher aus dem Internet erreichbare Instanzen von Geschäftsanwendungen, die von mehreren Benutzern genutzt werden.

Was jetzt zu tun ist

1. Aktualisieren Sie auf eine korrigierte Frappe-Version. Die korrigierten Versionen sind 15.121.0 für die 15.x-Linie und 16.34.0 für die 16.x-Linie.
2. Falls ein sofortiges Einspielen der Sicherheitsupdates nicht möglich ist, beschränken Sie die Berechtigungen zum Hochladen von Dateien auf vertrauenswürdige Benutzer und überprüfen Sie, welche Rollen Dateien hochladen können. Dies verringert die Angriffsfläche, beseitigt die Schwachstelle jedoch nicht.
3. Prüfen Sie Speicherverzeichnisse und über das Web erreichbare Verzeichnisse auf kürzlich erstellte Dateien außerhalb der üblichen Upload-Pfade und priorisieren Sie die Behebung auf jeder Instanz, auf der unerwartete Dateien gefunden werden.

Wie man es erkennt

Achten Sie auf Dateien außerhalb des normalen Upload-Verzeichnisses, insbesondere in Verzeichnissen, die Code ausliefern oder ausführen können. Prüfen Sie die Upload-Protokolle auf Dateinamen mit Path-Traversal-Sequenzen sowie auf Konten mit geringen Berechtigungen, die an unerwartete Speicherorte schreiben. Ein Vergleich des aktuellen Speicherbestands mit einer als unbedenklich bekannten Ausgangsbasis kann helfen, Schreibvorgänge zu erkennen, die vor dem Einspielen der Sicherheitsupdates stattgefunden haben.

Über den Patch hinaus

Über das Einspielen von Sicherheitsupdates hinaus handelt es sich hier um einen authentifizierten Upload-Pfad, der zu Codeausführung führt. Die Härtung sollte daher überprüft werden, bevor ein Angreifer diese Schwachstelle findet. Implementierungs- und Bewertungsleistungen können die Datei-Upload-Verarbeitung in Ihrer Frappe- oder ERPNext-Installation testen und härten. Sobald Code ausgeführt wird, ist die anschließende Aktivität genau das, was Managed Detection and Response (MDR) erkennen soll, denn EDR und SIEM sehen die Spuren, die Codeausführung, Rechteausweitung oder Missbrauch von Zugangsdaten hinterlassen.