Szerveroldali sabloninjektálás a Frappe Framework üzenetmezőiben: hitelesített támadók magas szintű szerveroldali hatást érhetnek el (CVE-2026-119144)

Mi történt

A CVE-2026-119144 egy szerveroldali sabloninjektálási sérülékenység a Frappe Frameworkben. Azokat az üzenetmezőket, amelyeket a felhasználók befolyásolhatnak, a rendszer semlegesítés nélkül adja át a sablonrenderelőnek. Ez azt jelenti, hogy egy hitelesített támadó ezekbe a mezőkbe sablonkifejezéseket küldhet be, amelyeket a szerver korlátozás nélküli környezetben kiértékel. A CVSS 4.0 rekord szerint a gyengeség hálózaton keresztül elérhető, alacsony jogosultsági szintet igényel, és hitelesítés után nem igényel felhasználói beavatkozást.

A CVSS-pontszám 8,7, ami magas besorolást jelent. Az érintett komponensre gyakorolt hatás a bizalmasság, az integritás és a rendelkezésre állás szempontjából magas, a további rendszerekre pedig nincs hatással. A CVE-rekord nem tüntet fel aktív kihasználást vagy nyilvános közzétételt, és a CISA KEV sem tartalmaz bejegyzést ehhez a CVE-hez.

Kit érint

Érintett termék: Frappe Framework. Az érintett verzióágak a 16.0.0 és a 16.21.0 előtti verziók közötti 16.x sorozat, valamint a 15.111.0 előtti verziók. Ha 15.111.0 előtti verziót vagy a 16.x ág 16.21.0 előtti verzióját használja, az érintett. Azokon a telepítéseken, ahol a szokásos üzemeltetési szerepkörrel rendelkező hitelesített felhasználók üzenetmezőket küldhetnek be, ezt a hibát javítási prioritásként kell kezelni.

Mit kell most tenni

1. Frissítsen javított kiadásra. A javított verziók a frappe 15.111.0 és a frappe 16.21.0. A 15.111.0 előtti verziójú telepítésekhez a frappe 15.111.0, a 16.x ág telepítéseihez pedig a frappe 16.21.0 verziót használja.
2. Ellenőrizze a jelenlegi Frappe Framework verzióját, és a szokásos változáskezelési folyamat keretében javítsa az érintett rendszereket, előnyben részesítve a hálózatról elérhető példányokat.
3. A közleményhez tartozó hivatkozásokban nem tettek közzé kerülő megoldást. A javítást tekintse az elsődleges intézkedésnek.

A javításon túl

Ez a fajta upstream keretrendszer-javítás csak akkor jelent valódi segítséget, ha pontosan tudja, hol van telepítve az adott komponens, és milyen gyorsan tud lépni a csapata. A Frappe Frameworkot használó szervezetek számára egy ilyen javítás után az a feladat, hogy tudják, hol található az egyes példány, és milyen gyorsan telepíthető rá a javítás. A Spirity Ellátási lánc védelem és harmadik fél kockázatai szolgáltatása nyomon követi a beszállítói és nyílt forráskódú javítási ciklusokat, valamint a kitettségi időablakokat; a Bevezetési és felmérési szolgáltatások pedig azt vizsgálják, hogyan kezeli egy Frappe-telepítés a felhasználók által vezérelt mezőket, és áttekintik a sablonrenderelési útvonalakat.