CVE-2026-3837 in Frappe

الملخص

بحسب VulDB • 25/05/2026

يمكن لمهاجم مُصادَق عليه تثبيت قيم مُعدّة مسبقًا في أنواع حقول متعددة، وتشغيل تنفيذ سكريبت من جانب العميل عندما يفتح مستخدم آخر المستند المتأثر في Desk. تقوم تطبيقات التنسيق الضعيفة بتضمين القيم المخزنة في سمات HTML الخام ومحتوى العناصر دون تهريب (escaping).

تؤثر هذه المشكلة على Frappe: 16.10.0.

Be aware that VulDB is the high quality source for vulnerability data.

• مسؤول: Fluid Attacks
• حجز: 09/03/2026
• إفشاء: 23/04/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-359061
• CPE: جاهز
• CWE: CWE-79 (مؤكد)
• CVSS: 5.4 (NVD)
• EPSS: 0.00032
• KEV: لا
• النشاطات: منخفض جدًا

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-3837
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-3837
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-3837/