Frappe — это полнофункциональная платформа веб-приложений. До версий 16.20.0 и 15.112.0 обход разрешений на уровне полей предоставляет ограниченные поля DocType. Эта проблема исправлена в версиях 16.23.0 и 15.112.0.
Показать оригинальное описание (EN)
Frappe is a full-stack web application framework. Prior to 16.20.0 and 15.112.0, a field-level permissions bypass exposes restricted DocType fields. This issue is fixed in versions 16.23.0 and 15.112.0.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
frappe:frappe
Ссылки 3
https://github.com/frappe/frappe/security/advisories/GHSA-7vpf-q96h-59x4
https://github.com/frappe/frappe/security/advisories/GHSA-7vpf-q96h-59x4
https://github.com/frappe/frappe/commit/45dfd1432eb65581f90b8b0589e456e77a574fe4
https://github.com/frappe/frappe/commit/45dfd1432eb65581f90b8b0589e456e77a574fe4
https://github.com/frappe/frappe/commit/d6a214db952cf7010020889bbc00073cce88a0c9
https://github.com/frappe/frappe/commit/d6a214db952cf7010020889bbc00073cce88a0c9