CVE-2026-81731

Frappe 15.11.0 ile 16.32.0 arasındaki sürümler, çalışma alanı kart açıklamasını XSS filtrelemesi yapmadan saklar ve işler. Workspace Link doctype'ının açıklama alanı, frappe/desk/doctype/workspace_link/workspace_link.json dosyasında "ignore_xss_filter": 1 olarak tanımlanmıştır ve frappe/model/base_document.py içindeki _sanitize_content() fonksiyonu bu bayrağı taşıyan tüm alanları atladığı için değer tam olarak gönderildiği şekilde saklanır. frappe.desk.desktop.get_desktop_page bunu değiştirilmeden döndürür ve frappe/public/js/frappe/widgets/links_widget.js içindeki LinksWidget.set_body(), herhangi bir HTML kaçış işlemi gerçekleştirmeyen __() çeviri yardımcısı aracılığıyla bu değeri, html: true ile oluşturulmuş bir Bootstrap popover içine yerleştirir. Bu durum, Workspace Manager rolüne sahip bir kullanıcının, genel bir çalışma alanının kart açıklamasına rastgele işaretlemeler yerleştirmesine ve bunun, söz konusu çalışma alanını açıp açıklamanın üzerine gelen daha yüksek yetkili kullanıcılar da dahil olmak üzere herhangi bir masaüstü kullanıcısının oturumunda çalıştırılmasına olanak tanır; bu da oturum belirteci hırsızlığına ve mağdur adına kimliği doğrulanmış isteklerin gönderilmesine yol açar. Bayrak geliştirme dalından kaldırılmıştır ancak yayınlanan 15.x ve 16.x sürüm hatlarında mevcut olmaya devam etmektedir, dolayısıyla yayınlanmış hiçbir sürüm düzeltmeyi içermemektedir.