Frappe Framework before 15.120.0 and 16.x before 16.33.0 does not enforce the per-user restrict_ip allowlist for non-session authentication methods, including API key, OAuth, and header-based authentication. Attackers holding valid credentials of these types can authenticate from IP addresses outside the allowlist, defeating the configured network-based access restrictions.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 2
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Frappe Frappe
cpe:2.3:a:frappe:frappe:*:*:*:*:*:*:*:*
|
16.0.0
|
16.33.0
|
|
Frappe Frappe
cpe:2.3:a:frappe:frappe:*:*:*:*:*:*:*:*
|
— |
15.120.0
|
Ссылки 2
https://github.com/frappe/frappe/security/advisories/GHSA-h9jq-7pgf-hw8q
GitHub Security Advisory (GHSA-h9jq-7pgf-hw8q)
https://www.vulncheck.com/advisories/frappe-before-16.33.0-restrict-ip-allowlis…
VulnCheck Advisory: Frappe before 16.33.0 restrict_ip Allowlist Bypass via API Key, OAuth Authentication