PT-2020-17271 · Frappe · Frappe Framework

Publicado 2020-12-11 · Atualizado 2021-07-21 · CVE-2020-35175

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Frappe Framework versões 12 e 13

Descrição

O problema está relacionado à validação inadequada do método HTTP para a API frappe.client. Isso poderia potencialmente permitir ações não autorizadas.

Recomendações

Para o Frappe Framework versão 12, atualize para uma versão que valide corretamente os métodos HTTP para a API frappe.client.

Para o Frappe Framework versão 13, atualize para uma versão que valide corretamente os métodos HTTP para a API frappe.client.

Como solução temporária, considere restringir o acesso à API frappe.client até que um patch esteja disponível.

Correção

Identificadores relacionados

CVE-2020-35175

Produtos afetados

Frappe Framework

Referências · 9

• https://github.com/frappe/frappe/pull/11228 · Nota
• https://github.com/frappe/frappe/pull/11237 · Correção
• https://t.me/cibsecurity/20689 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-35175 · Nota de Segurança
• https://t.me/cibsecurity/20708 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-35175 · Aviso do Fabricante
• https://t.me/cibsecurity/20669 · Publicação no Telegram
• https://t.me/cibsecurity/20649 · Publicação no Telegram
• https://t.me/cvenotify/7093 · Publicação no Telegram