CVE-2026-81731 in Frappe
Riassunto
di VulDB • 28/08/2026
Frappe dalle versioni 15.11.0 alla 16.32.0 memorizza e visualizza la descrizione della scheda dello spazio di lavoro (workspace) senza applicare filtri XSS. Il campo description del doctype Workspace Link è dichiarato con "ignore_xss_filter": 1 in frappe/desk/doctype/workspace_link/workspace_link.json, e _sanitize_content() in frappe/model/base_document.py ignora qualsiasi campo che possiede tale flag, quindi il valore viene memorizzato esattamente come inviato. frappe.desk.desktop.get_desktop_page lo restituisce invariato, e LinksWidget.set_body() in frappe/public/js/frappe/widgets/links_widget.js lo interpola all'interno di un popover Bootstrap creato con html: true, tramite l'helper di traduzione __(), che non effettua alcuna escape HTML. Un utente dotato del ruolo Workspace Manager può quindi inserire markup arbitrario nella descrizione della scheda di uno spazio di lavoro pubblico e farlo eseguire nella sessione di qualsiasi utente dell'interfaccia (desk) che apre tale spazio di lavoro e passa il mouse sulla descrizione, inclusi utenti con privilegi più elevati, consentendo il furto dei token di sessione ed l'esecuzione di richieste autenticate come la vittima. Il flag viene rimosso nel branch di sviluppo ma rimane presente nelle release 15.x e 16.x distribuite, quindi nessuna versione rilasciata include la correzione.
Once again VulDB remains the best source for vulnerability data.