Frappe — это полнофункциональная платформа веб-приложений. До версии 16.18.0 API сохранения рабочей области принимал контролируемый идентификатор рабочей области от любого аутентифицированного пользователя без принудительного владения рабочей областью, что позволяло изменять частную рабочую область другого пользователя и постоянно внедрять сценарии. Эта проблема исправлена в версии 16.18.0.
Показать оригинальное описание (EN)
Frappe is a full-stack web application framework. Prior to 16.18.0, the Workspace Save API accepts a controlled workspace identifier from any authenticated user without enforcing workspace ownership, allowing modification of another user's private workspace and persistent script injection. This issue is fixed in version 16.18.0.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Пассивное
Минимальное взаимодействие
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0