Frappe ERPNext nyilvános foglalási oldalán található tárolt XSS-hiba fiókátvételt tesz lehetővé (CVE-2026-109633)

Mi történt

Az ERPNext nyilvános foglalási oldala hitelesítést nem igénylő látogatóktól is elfogad tartalmat, és azt a HTML semlegesítése nélkül tárolja. Amikor egy emelt jogosultságú felhasználó később megnyitja az érintett oldalt, a beküldött tartalom nyers HTML-ként jelenik meg, így a támadó által megadott JavaScript az adott felhasználó munkamenetében fut le. A támadó az adott felhasználó nevében eljárhat, üzleti rekordokat olvashat és módosíthat, valamint átveheti a fiókot. A CVSS 4.0 szerinti alappontszám 8,6; a bizalmasságra és az integritásra gyakorolt hatás magas, a rendelkezésre állásra gyakorolt hatás nincs.

A sikeres kihasználás egyetlen feltétele, hogy egy emelt jogosultságú felhasználó passzív interakcióba lépjen az oldallal, például megnyissa vagy áttekintse a foglalási oldalt; a támadónak nincs szüksége előzetes hitelesítő adatokra, és az oldalt hálózaton keresztül el tudja érni. A CVE-rekord nem számol be aktív kihasználásról, és a hiba nem szerepel a CISA KEV-katalógusában.

Kit érint

A Frappe ERPNext érintett kiadásai: a 15.119.1 előtti verziók, valamint a 16.x ágon a 16.0.0-beta.1-től a 16.32.0 előtti verziók. Minden olyan telepítést ellenőrizni kell, amely ezeket a verziókat futtatja, és a nyilvános foglalási oldal engedélyezve van rajta. A kockázat ott összpontosul, ahol a hitelesítést nem igénylő látogatók elérhetik ezt az oldalt, és egy emelt jogosultságú felhasználó áttekinti a beküldéseket.

Mit kell most tenni

1. Frissítsen egy javított kiadásra: a 15.x ágon az ERPNext 15.119.1, a 16.x ágon pedig az ERPNext 16.32.0 verzióra.
2. Ha a frissítés nem telepíthető azonnal, korlátozza a nyilvános foglalási oldal elérését, vagy tiltsa le, amíg a javított kiadás telepítésre nem kerül.
3. A javítás előtt keletkezett foglalási beküldéseket kezelje nem megbízhatóként. Egy emelt jogosultságú felhasználó tekintse át őket, hogy vannak-e bennük váratlan HTML- vagy szkripttartalmak, mielőtt a normál használat újraindulna.

Ehhez a hibához külön kerülő megoldást nem tettek közzé.

Hogyan észlelhető

Tekintse át a meglévő foglalási beküldéseket nyers HTML- vagy szkriptrészletek szempontjából, különösen a javítás előtt létrehozott rekordoknál. Figyelje a foglalási oldalakat megnyitó emelt jogosultságú fiókokat, hogy nem történt-e váratlan változás a jelszavakban, szerepkörökben vagy üzleti rekordokban. A tárolt kártékony kód a nyilvános foglalásokon keresztül kerül be, és egy emelt jogosultságú felhasználó munkamenetében jelenik meg, ezért ezek a foglalási rekordok jelentik a fő kitettségi pontot.

A javításon túl

Ez a nyilvános beviteli útvonal közvetlenül egy emelt jogosultságú munkamenethez vezet, ezért a mögöttes kockázat nem csupán egy elmaradt biztonsági javítás, hanem egy kitett bizalmi határ. A frissítés telepítése után ellenőriztesse a nyilvánosan elérhető ERPNext-példányt egy penetrációs teszt és megerősítési felülvizsgálat keretében, és a Virtuális CISO szolgáltatás (vCISO) segítségével csökkentse annak valószínűségét, hogy a kitett szolgáltatások újra megjelenjenek. Ha az Ön ERPNext-példányát egy beszállító üzemelteti, az ellátási lánc védelem és harmadik felekkel kapcsolatos kockázatok segítségével kövesse nyomon, hogyan kezeli a szállító a javítást.