anonhaven
Ad

CVE-2026-109598

MEDIUM CVSS 4.0: 5,3 EPSS 0.19%
Обновлено 13 октября 2026
Frappe Framework
Параметр Значение
CVSS 5,3 (MEDIUM)
Уязвимые версии 16.0.0 — 16.33.0
Устранено в версии 16.33.0
Тип уязвимости CWE-862 (Отсутствие авторизации)
Поставщик Frappe Framework
Публичный эксплойт Нет

Frappe Framework before 15.120.0 and 16.x before 16.33.0 contains a missing authorization vulnerability in the whitelisted send_sms API endpoint, which does not verify that the caller is permitted to send SMS messages. Users lacking the required permissions can invoke send_sms to send arbitrary SMS messages that impersonate the Company.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя

Последствия

Конфиденциальность
Нет
Нет утечки данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы

Строка CVSS v4.0

Тип уязвимости (CWE)

CWE-862 Missing Authorization (Отсутствие авторизации)

Уязвимые продукты 2

Конфигурация От (включительно) До (исключительно)
Frappe Frappe
cpe:2.3:a:frappe:frappe:*:*:*:*:*:*:*:*
 16.0.0 16.33.0
Frappe Frappe
cpe:2.3:a:frappe:frappe:*:*:*:*:*:*:*:*
 — 15.120.0

Ссылки 2

https://github.com/frappe/frappe/security/advisories/GHSA-wrh5-p77r-jpvq
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/frappe-before-16.33.0-broken-authorization…
disclosure@vulncheck.com
Share Post Share Share Share

Связанные уязвимости

CVE-2026-114664

Frappe Framework

7,1

CVE-2026-111388

Frappe

5,3

CVE-2026-109601

Frappe Framework

7,1

CVE-2026-109600

Frappe Framework

6,9