CVE-2026-115718
CVE-2026-115718 · Frappe Builder 1.33.0 before 1.36.0 Missing Authorization via improve_prompt
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Frappe Builder versions 1.33.0 before1.36.0 contain a missing authorization vulnerability in the improve_prompt endpoint that allows any authenticated non-Guest session to invoke LLM completions without proper permission checks. Attackers can call the improve_prompt API to leverage the site owner's stored OpenRouter API key via resolve_api_key, consuming paid LLM credits and effectively turning the site into a free LLM proxy.
CVSS 5.3 · Средний · Есть исправление
- Опубликовано
- Обновлено
Затронутые продукты и версии
builder
- Версии
- ≥ 1.33.0, < 1.36.0: Затронуто (semver)
Обновитесь до 1.36.0