CVE-2026-66001
Təsvir
Frappe tam stekli veb tətbiqi freymvorkudur. 15.114.0 və 16.26.0 versiyalarından əvvəl, frappe/integrations/oauth2.py faylındakı approve və authorize funksiyaları OAuth2 razılıq axınının approve funksiyasının yalnız POST sorğuları ilə məhdudlaşdırılmadan, frappe/templates/includes/oauth_confirmation.html faylında csrf_token olmadan və aktiv OAuth token yoxlamasının sorğu göndərən klientlə əlaqələndirilmədən davam etməsinə şərait yaradır. Hücumçu autentifikasiya olunmuş istifadəçinin OAuth icazəsini təsdiqləməsinə və ya avtorizasiya vəziyyətini yanlış klient üçün yenidən istifadə etməsinə səbəb ola bilər ki, bu da məlumatların sızmasına və verilmiş icazə dairələrində (scopes) müəyyən hərəkətlərin yerinə yetirilməsinə yol açır. Bu problem 15.114.0 və 16.26.0 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| frappe frappe | < 15.114.0, >= 16.0.0-beta.1, < 16.26.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.