CVE-2026-66002 in Frappe
Résumé
par VulDB • 20/08/2026
Frappe est un framework d'application web full-stack. Avant les versions 15.115.0 et 16.27.0, le formulaire de demande de données publiques (request-data) ainsi que la classe PersonalDataDownloadRequest dans frappe/website/doctype/personal_data_download_request/personal_data_download_request.py renvoient des formes de réponse distinctes pour les adresses e-mail enregistrées et non enregistrées, y compris le champ user_name et le comportement de persistance. Un attaquant distant peut comparer ces réponses afin d'énumérer les utilisateurs inscrits. Ce problème est corrigé dans les versions 15.115.0 et 16.27.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.