PT-2024-20580 · Frappe · Frappe

Haider87Kareem + 2 · Publicado 2024-02-07 · Atualizado 2024-02-14 · CVE-2024-24812

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Frappe anteriores à 14.59.0

Versões do Frappe anteriores à 15.5.0

Descrição

O Frappe é uma estrutura de aplicativos web full-stack que utiliza Python e MariaDB no lado do servidor e uma biblioteca do lado do cliente fortemente integrada. O problema está relacionado a Cross-Site Scripting (XSS) nas páginas do portal, o que pode ser usado para injetar código JS malicioso caso um usuário clique em um link malicioso.

Recomendações

Para versões anteriores à 14.59.0, atualize para a versão 14.59.0 ou posterior.

Para versões anteriores à 15.5.0, atualize para a versão 15.5.0 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-80

CWE-79

Identificadores relacionados

CVE-2024-24812

GHSA-7P3M-H76M-HG9V

Produtos afetados

Frappe

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/24xxx/CVE-2024-24812.json · Exploit
• https://github.com/frappe/frappe/security/advisories/GHSA-7p3m-h76m-hg9v · Aviso do Fabricante
• https://github.com/frappe/frappe/releases/tag/v14.59.0 · Nota
• https://github.com/frappe/frappe/releases/tag/v15.5.0 · Nota
• https://t.me/cvenotify/71415 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1755248761708667251 · Publicação no Twitter
• https://t.me/cvenotify/70390 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-24812 · Nota de Segurança
• https://t.me/cvenotify/70414 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1755285578847789370 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-24812 · Aviso do Fabricante