Nyílt forráskódú üzleti platformok, 2026. 42. hét: 115 sérülékenység az ERPNext, az Adobe Commerce és a SuiteCRM termékeiben

A kiadás röviden

A Frappe / ERPNext, az Adobe Commerce / Magento, a SuiteCRM, a Dolibarr, a TYPO3 és a Shopware karbantartói a 2026. október 12. és 18. közötti héten 115 sérülékenységet tettek közzé. Ebből 104 rendelkezik CVE-azonosítóval, 11 pedig CVE-azonosító nélküli biztonsági közlemény. A súlyosság szerinti megoszlás: 7 kritikus, 65 magas, 40 közepes és 3 pontszám nélküli. A bejegyzések egyike sem szerepel a CISA ismerten kihasznált sérülékenységek katalógusában (Known Exploited Vulnerabilities, KEV), és a forrásul szolgáló biztonsági közlemények egyetlen bejegyzést sem jelölnek kihasználtként.

Az egyes termékekre jutó megoszlás: Frappe / ERPNext 92, Adobe Commerce / Magento 11, SuiteCRM 9, a Dolibarr, a TYPO3 és a Shopware pedig egy-egy sérülékenység. A javítási sorrendet meghatározó problémák az Adobe Commerce, a Frappe Framework és a SuiteCRM termékekre összpontosulnak.

A legfontosabbak

Frappe Framework. A GHSA-9pp9-wgp9-3p3j kritikus útvonalbejárásos (path traversal) sérülékenység a fájlfeltöltés kezelésében. Egy hitelesített felhasználó a szándékolt tárolási könyvtáron kívülre írhat fájlt, és távoli kódfuttatást érhet el. Nincs kerülő megoldás; frissítés szükséges. A javított verziók: Frappe Framework 16.34.0 és 15.121.0.

Adobe Commerce / Magento. A CVE-2026-103849 CVSS-pontszáma 10,0; a hiba a speciális elemek nem megfelelő semlegesítését írja le egy sablonmotorban. A hiba felhasználói beavatkozás nélkül is lehetővé teheti tetszőleges kód végrehajtását. A 9,8 pontszámú CVE-2026-92909 egy helytelen jogosultság-ellenőrzési hiba, amely szintén tetszőleges kód végrehajtásához vezethet felhasználói beavatkozás nélkül. A CVE-2026-100133 és a CVE-2026-91013 tárolt cross-site scripting (XSS) sérülékenység, mindkettő 9,3 pontszámmal. A 2026. októberi kiadások javítják ezeket a hibákat.

SuiteCRM. A GHSA-4773-c8fh-3rww egy kritikus, operációs rendszer szintű kódinjektálási hiba a Studio Dropdown Editorban. Egy adminisztrátor tartós kódfuttatást érhet el www-data felhasználóként. A GHSA-6c7r-7g6m-29f9 egy időalapú vak SQL-injektálás az AOR_Reports ORDER BY záradékán keresztül, 8,8 pontszámmal. A GHSA-rxx9-4rg7-c3qp egy jogosultságszint-emelési hiba, amely lehetővé teszi, hogy bármely hitelesített felhasználó módosítsa az ACL-szerepköröket és az Administration konfigurációt. Mindegyiket javítja a SuiteCRM 8.10.2 és 7.15.2 verziója.

Javítási sorrend

1. Elsőként az Adobe Commerce és a Magento Open Source rendszert javítsa. A CVE-2026-103849 és a CVE-2026-92909 a hálózaton keresztül, felhasználói beavatkozás nélkül érhető el, és tetszőleges kód végrehajtásához vezethet. Telepítse a 2026. októberi kiadásokat: Adobe Commerce 2.4.4-2026-oct, 2.4.5-2026-oct, 2.4.6-2026-oct, 2.4.7-2026-oct, 2.4.8-2026-oct, 2.4.9-2026-oct vagy 2.4.10-alpha1; Adobe Commerce B2B 1.3.3-2026-oct, 1.3.4-2026-oct, 1.4.2-2026-oct, 1.5.2-2026-oct, 1.5.3-2026-oct vagy 1.5.4-alpha1; Magento Open Source 2.4.7-2026-oct, 2.4.8-2026-oct, 2.4.9-2026-oct vagy 2.4.10-alpha1.

1. Másodikként a Frappe Framework rendszert javítsa. A GHSA-9pp9-wgp9-3p3j hibához nincs kerülő megoldás; frissítsen a 16.34.0 vagy a 15.121.0 verzióra.

1. Javítsa a SuiteCRM rendszert. Frissítsen a 8.10.2 vagy a 7.15.2 verzióra, hogy megszüntesse az operációs rendszer szintű kódinjektálási, az SQL-injektálási és a jogosultságszint-emelési hibákat.

1. Végül alkalmazza a fennmaradó magas súlyosságú frissítéseket az ERPNext és a többi termék esetében, előnyben részesítve az internet felől elérhető példányokat. Ehhez a csoporthoz nem tartozik CISA KEV szerinti határidő.

A javításon túl

Az ilyen frissítések kezelhetőbbé válnak, ha a mögöttes injektálási és hozzáférés-szabályozási hibákat még a támadók előtt feltárják. A Bevezetési és felmérési szolgáltatások olyan penetrációs tesztelést és rendszermegerősítést foglalnak magukban, amelyek kifejezetten az itt közzétett típusú injektálási, deszerializációs és hitelesítési gyengeségeket célozzák. Ha egy szervezet a biztonsági javítások ütemezése közben is működési rálátást szeretne, a Menedzselt kiberbiztonsági felügyelet azokat a kódvégrehajtási, jogosultságszint-emelési és hitelesítőadat-visszaélési eseményeket figyeli, amelyeket e hibák kihasználása hagyhat maga után.