p PatchFirst

CVE-2026-119144

CVE-2026-119144 · Frappe Framework before 15.111.0 and 16.x before 16.21.0 Server-Side Template Injection via Message Fields

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Frappe Framework before 15.111.0 and 16.x before 16.21.0 contains a server-side template injection vulnerability because user-controlled message fields are rendered as templates without neutralization. An authenticated attacker holding a common operational role can inject template expressions that the server evaluates in an unrestricted context.

CVSS 8.7 · Высокий · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Затронутые продукты и версии

  • frappe

    Версии
    • ≥ 16.0.0, < 16.21.0: Затронуто (semver)
    • 16.21.0: Не затронуто (semver)

    Обновитесь до 16.21.0

  • frappe

    Версии
    • ≥ 0, < 15.111.0: Затронуто (semver)
    • 15.111.0: Не затронуто (semver)

    Обновитесь до 15.111.0

Первоисточники

Проверьте свой сервер →