Open-Source-Geschäftsplattformen, Woche 43: Schwerwiegende SQL-Injection in Frappe – eine von vier Schwachstellen

Das Release im Überblick

Zwischen dem 19. und 25. Oktober 2026 veröffentlichten die Maintainer von Frappe, Dolibarr und WordPress vier Schwachstelleneinträge. Drei davon tragen CVE-Kennungen, bei einem handelt es sich um den GitHub-Sicherheitshinweis GHSA-7cxg-q8x5-rpjh. Zwei der Einträge betreffen Frappe, einer Dolibarr und einer WordPress. Nach Schweregrad betrachtet enthält die Menge ein Problem mit hohem und drei Probleme mit mittlerem Schweregrad. Keiner der Einträge ist im Katalog „Known Exploited Vulnerabilities“ der CISA aufgeführt, und keiner ist als ausgenutzt gekennzeichnet. Der schwerwiegendste Eintrag ist CVE-2026-114664, eine blinde SQL-Injection in der Funktion get_events in Frappe Framework.

Was am meisten zählt

Für Frappe liegen zwei Einträge vor. CVE-2026-114664 ist eine blinde SQL-Injection mit hohem Schweregrad in frappe.desk.doctype.event.event.get_events und betrifft Frappe Framework vor Version 16.33.0. Sie weist in CVSS 4.0 einen Wert von 7,1 auf. Ein authentifizierter Angreifer kann manipulierte Eingaben senden, um aus dem Verhalten der Anwendung Rückschlüsse auf Abfrageergebnisse zu ziehen und vertrauliche Datenbankinformationen auszulesen. Die korrigierte Version ist 16.33.0. Der zweite Frappe-Eintrag, GHSA-7cxg-q8x5-rpjh, ist ein Fehler in der Zugriffskontrolle bei Dateilisten- und Berichtsabfragen. Er kann Metadaten privater Dateien offenlegen und betrifft Frappe Framework in der 16.x-Linie vor 16.35.0 sowie in der 15.x-Linie vor 15.121.1. Im Sicherheitshinweis der Maintainer heißt es, dass es keine Problemumgehungen gibt; korrigierte Versionen sind 16.35.0 und 15.121.1.

Dolibarr CVE-2026-112361 betrifft Dolibarr 23.0.0 bis einschließlich 23.0.2. Beschrieben wird ein Fehler im Schutzmechanismus im Zusammenhang mit einer nicht näher bezeichneten Funktion in htdocs/document.php innerhalb der CSP-Komponente. Der Angriff kann aus der Ferne ausgeführt werden. Ein Upgrade auf Dolibarr 24.0.0 genügt, um die Schwachstelle zu beheben.

WordPress CVE-2026-114570 ist eine persistente Cross-Site-Scripting-Schwachstelle über Quick Edit. Der Titel des Sicherheitshinweises bezieht sich auf WordPress Core bis einschließlich 7.0.2, während die Liste der betroffenen Versionen im CVE-Datensatz die Versionszweige 4.7.0 bis 5.4.19 umfasst. Ein authentifizierter Benutzer mit Contributor-Zugriffsrechten oder höher kann Skripte einschleusen, die ausgeführt werden, wenn ein Benutzer mit höheren Rechten betroffene Verwaltungsseiten öffnet. Diese Schwachstelle betrifft nur Websites mit einer großen Anzahl von Benutzern. Es ist keine korrigierte Version aufgeführt.

In dieser Reihenfolge patchen

1. Spielen Sie zuerst die Sicherheitsupdates für Frappe Framework ein. Aktualisieren Sie alle Installationen mit einer Version vor 16.33.0 auf 16.33.0 oder höher, um CVE-2026-114664, die blinde SQL-Injection mit hohem Schweregrad, zu beheben.
2. Schließen Sie den Aktualisierungspfad für Frappe ab. Wechseln Sie für GHSA-7cxg-q8x5-rpjh auf 16.35.0 im 16.x-Zweig oder auf 15.121.1 im 15.x-Zweig. Da die Maintainer keine Problemumgehung nennen, ist das Update die entscheidende Sicherheitsmaßnahme.
3. Aktualisieren Sie Dolibarr auf 24.0.0. Dadurch wird CVE-2026-112361 behoben, ein aus der Ferne ausnutzbarer Fehler im Schutzmechanismus.
4. Für WordPress ist zu CVE-2026-114570 keine korrigierte Version aufgeführt. Verfolgen Sie den Sicherheitshinweis von Wordfence und überprüfen Sie die Zuweisung von Contributor-Konten und die Verwaltungsseiten, insbesondere bei Websites mit einer großen Anzahl von Benutzern.

Über den Patch hinaus

Open-Source-Geschäftsanwendungen erhalten Sicherheitsupdates nach dem Zeitplan des jeweiligen Maintainers. In einer gemischten Umgebung wie Frappe, Dolibarr und WordPress zahlen sich daher ein disziplinierter Upgrade-Pfad und ein genauer Blick auf die Reaktionsgeschwindigkeit der Anbieter aus. Mit Implementierungs- und Bewertungsleistungen können Sie die Änderungen an Frappe und Dolibarr vor der Bereitstellung auf Regressionen bei Injection, Zugriffskontrolle und Eingabeverarbeitung prüfen lassen. Mit Lieferkettenschutz und Drittanbieterrisiko können Sie nachverfolgen, welche Versionen Sie einsetzen und wie schnell jedes Projekt Korrekturen veröffentlicht. Daraus ergibt sich Ihr Gefährdungsfenster.