Frappe ERPNext reflektált XSS-hibája fiókátvételt tesz lehetővé (CVE-2025-71432)

Mi történt

A Frappe ERPNext 14.92.1 előtti verziói, valamint a 15.x sorozat 15.83.0 előtti verziói reflektált cross-site scripting (XSS) hibát tartalmaznak, amelyet egy adott oldalon hiányzó bemeneti ellenőrzés okoz. Egy távoli támadó olyan URL-t készíthet, amely – ha egy bejelentkezett felhasználó megnyitja – tetszőleges JavaScript-kódot futtat az érintett felhasználó hitelesített munkamenetében. A támadónak nincs szüksége a rendszerhez való előzetes hozzáférésre, de rá kell vennie egy bejelentkezett felhasználót, hogy megnyissa a hivatkozást. A CVE-rekord a következményt fiókátvételként írja le. A CVSS 4.0 pontszám 8,6, ami magas súlyosságú. A CVE-rekord sem aktív kihasználást, sem nyilvános közzétételt nem említ.

Kit érint

Érintett verziók: az ERPNext 14.92.1 előtti verziói, valamint az ERPNext 15.0.0-tól a 15.83.0 előtti verziókig terjedő 15.x kiadások. A CVE-rekord nem nevez meg más termékeket. Ha ERPNextet futtat a 14.x vagy a 15.x sorozaton, hasonlítsa össze a pontos buildjét ezekkel a javított verziókkal. Mivel a hiba kihasználásához egy bejelentkezett felhasználónak meg kell nyitnia egy speciálisan kialakított URL-t, azok a példányok különösen veszélyeztetettek, ahol a felhasználók bejelentkezett állapotban kezelnek hivatkozásokat vagy e-maileket.

Mit kell most tenni

1. Alkalmazza a javított verziókat: frissítsen ERPNext 14.92.1-re a 14.x sorozaton, vagy ERPNext 15.83.0-ra a 15.x sorozaton. A CVE-rekordban ezek az egyetlen felsorolt javított verziók.
2. Végezzen leltárt az összes ERPNext-példányról, beleértve a teszt- és szatellit-telepítéseket is, és ellenőrizze a futó verziót.
3. A CVE-rekord nem sorol fel gyártói kerülő megoldást. Amíg a frissítések nem készülnek el, korlátozza az ERPNext hálózati hozzáférését megbízható felhasználókra és hálózatokra.
4. Ellenőrizze a kiemelt jogosultságú ERPNext-fiókokat, hogy nem történt-e olyan módosítás, illetve nem jött-e létre olyan fiók, amelyet nem Ön hagyott jóvá.
5. Kérje a felhasználókat, hogy bejelentkezett állapotban ne nyissanak meg váratlan vagy kéretlen ERPNext-hivatkozásokat.

Hogyan észlelhető

A CVE-rekord nem ad meg konkrét kompromittálódásra utaló jeleket. Mivel a CVE-rekordban megadott hatás fiókátvétel, ellenőrizze az ERPNext hitelesítési naplóiban az új helyekről vagy eszközökről érkező bejelentkezéseket, és vizsgálja meg a kiemelt jogosultságú fiókokat, hogy nincsenek-e megmagyarázhatatlan jogosultsági módosítások vagy új hitelesítő adatok.

A javításon túl

Az ERPNext az üzleti folyamatok középpontjában áll, ezért egy fiókátvétel súlyos üzemeltetési eseménynek számít. Mivel a hiba hitelesítő adatok nélkül, hálózaton keresztül kihasználható, az ERPNext hálózati kitettségének csökkentése a hosszú távú megoldás része. Virtuális CISO szolgáltatásunk (vCISO) segíthet feltérképezni és csökkenteni ezt a kitettséget, Bevezetési és felmérési szolgáltatásaink pedig tesztelhetik az internet felől elérhető ERPNext-telepítést és annak megerősítését szolgáló biztonsági intézkedéseket.