Nyílt forráskódú üzleti platformok, 43. hét: nagy súlyosságú Frappe SQL-injekció a négy sérülékenység között

A kiadás röviden

1. október 19. és 25. között a Frappe, a Dolibarr és a WordPress karbantartói négy sérülékenységi bejegyzést tettek közzé. Három bejegyzés CVE-azonosítóval rendelkezik, egy pedig a GHSA-7cxg-q8x5-rpjh jelű GitHub biztonsági közlemény. A bejegyzések közül kettő a Frappe platformot, egy a Dolibarr rendszert, egy pedig a WordPress rendszert érinti. Súlyosság szerint a csoport egy magas és három közepes besorolású tételt tartalmaz. A csoport egyik bejegyzése sem szerepel a CISA Known Exploited Vulnerabilities katalógusában, és egyiket sem jelölik kihasználtként. A legsúlyosabb tétel a CVE-2026-114664, amely a Frappe Framework get_events függvényében található vak SQL-injekció.

A legfontosabbak

A Frappe rendszerhez két bejegyzés tartozik. A CVE-2026-114664 nagy súlyosságú vak SQL-injekció a frappe.desk.doctype.event.event.get_events függvényben, és a Frappe Framework 16.33.0 előtti verzióit érinti. A hiba CVSS 4.0 szerinti pontszáma 7,1. Hitelesített támadó speciálisan kialakított bemenettel következtethet a lekérdezések eredményére az alkalmazás viselkedéséből, és így érzékeny adatbázis-információkat nyerhet ki. A javított verzió a 16.33.0. A Frappe másik bejegyzése, a GHSA-7cxg-q8x5-rpjh, a fájllisták és a jelentések lekérdezéseit érintő hozzáférés-szabályozási hiba. A hiba privát fájlok metaadatait fedheti fel, és a Frappe Framework 16.35.0 előtti, valamint a 15.121.1 előtti verzióit érinti. A karbantartók közleménye szerint nincs kerülő megoldás; a javított verziók a 16.35.0 és a 15.121.1.

A CVE-2026-112361 azonosítójú Dolibarr-sérülékenység a Dolibarr 23.0.0-tól 23.0.2-ig terjedő kiadásait érinti. A leírás a CSP összetevőben található htdocs/document.php egy nem részletezett függvényéhez kapcsolódó védelmimechanizmus-hibát ír le. A támadás távolról végrehajtható. A 24.0.0 verzióra történő frissítés elegendő a hiba megszüntetéséhez.

A CVE-2026-114570 azonosítójú WordPress-sérülékenység a Quick Edit funkción keresztül kihasználható, tárolt cross-site scripting hiba. A közlemény címe a WordPress Core 7.0.2-es verziójáig (azt is beleértve) terjedő kiadásokra utal; a CVE-rekord érintett verziólistája ugyanakkor a 4.7.0-tól 5.4.19-ig terjedő ágakat fedi le. Hitelesített felhasználó, aki legalább közreműködő (Contributor) szintű hozzáféréssel rendelkezik, szkripteket szúrhat be; ezek akkor futnak le, amikor egy magasabb jogosultságú felhasználó megnyitja az érintett adminisztrációs felületeket. A hiba kizárólag nagyszámú felhasználóval rendelkező webhelyeket érint. Javított verzió nincs feltüntetve.

Javítási sorrend

1. Először frissítse a Frappe Framework verzióját. A CVE-2026-114664, vagyis a nagy súlyosságú vak SQL-injekció megszüntetéséhez bármely 16.33.0 előtti verzióról lépjen 16.33.0-s vagy újabb kiadásra.

1. Fejezze be a Frappe frissítési útvonalát. A GHSA-7cxg-q8x5-rpjh hibához a 16.x ágon a 16.35.0, a 15.x ágon pedig a 15.121.1 verzióra lépjen. A karbantartók nem biztosítanak kerülő megoldást, ezért a frissítés jelenti a biztonsági intézkedést.

1. Frissítse a Dolibarr rendszert a 24.0.0 verzióra. Ez megszünteti a CVE-2026-112361 jelű, távolról kihasználható védelmimechanizmus-hibát.

1. A WordPress esetében a CVE-2026-114570 hibához nem tüntettek fel javított verziót. Kövesse figyelemmel a Wordfence biztonsági közleményét, és tekintse át a közreműködő (Contributor) szintű fiókok hozzárendelését, valamint az adminisztrációs felületeket – különösen a nagyszámú felhasználóval rendelkező webhelyeken.

A javításon túl

A nyílt forráskódú üzleti alkalmazások frissítései az egyes karbantartók ütemezését követik, ezért ahol a Frappe, a Dolibarr és a WordPress egyaránt jelen van, ott megtérül a fegyelmezett frissítési útvonal és a szállítói javítási sebesség pontos ismerete. A Bevezetési és felmérési szolgáltatások segítségével a Frappe és a Dolibarr módosításait már az élesítésük előtt tesztelheti injektálási, hozzáférés-szabályozási és bemenetkezelési regressziók szempontjából. Az Ellátási lánc védelem és harmadik fél kockázatkezelés segít nyomon követni, hogy mely verziókat futtatja, és az egyes projektek milyen gyorsan adnak ki javításokat; ez határozza meg a kitettségi időablakot.