Frappe — это полнофункциональная платформа веб-приложений. В версии 16.31.0 и более ранних версиях frappe.client.set_value в frappe/client.py проверяет словарь, предоставленный через параметр fieldname, на наличие запрещенных стандартных полей и полей дочерней таблицы, прежде чем разбирать словарь на отдельные имена полей. Аутентифицированный вызывающий абонент может использовать эту путаницу типов для массового назначения защищенных полей через конечную точку клиента.
На момент написания этого обзора выпущенной фиксированной версии не существует.
Показать оригинальное описание (EN)
Frappe is a full-stack web application framework. In version 16.31.0 and earlier, frappe.client.set_value in frappe/client.py checks a dictionary supplied through the fieldname parameter against forbidden standard and child-table fields before parsing the dictionary into individual field names. An authenticated caller can exploit this type confusion to mass-assign protected fields through the client endpoint. No released fixed version is available as of this review.
Характеристики атаки
Последствия
Строка CVSS v4.0