CVE-2026-66001
Açıklama
Frappe, tam yığınlı bir web uygulama çerçevesidir. 15.114.0 ve 16.26.0 sürümlerinden önce, frappe/integrations/oauth2.py içindeki approve ve authorize fonksiyonları; approve işleminin POST ile sınırlandırılmaması, frappe/templates/includes/oauth_confirmation.html içinde bir csrf_token bulunmaması ve aktif bir OAuth belirteci kontrolünün istek yapan istemciyle kapsamlandırılmaması nedeniyle OAuth2 onay akışının devam etmesine izin vermektedir. Bir saldırgan, kimliği doğrulanmış bir kullanıcının bir OAuth iznini onaylamasına veya yetkilendirme durumunu yanlış istemci için yeniden kullanmasına neden olarak verileri ifşa edebilir ve verilen kapsamlar dahilinde işlemler gerçekleştirilmesine izin verebilir. Bu sorun 15.114.0 ve 16.26.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| frappe frappe | < 15.114.0, >= 16.0.0-beta.1, < 16.26.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.