CVE-2026-66001 in Frappe
要約
〜によって VulDB • 2026年08月21日
FrappeはフルスタックのWebアプリケーションフレームワークです。バージョン15.114.0および16.26.0より前では、frappe/integrations/oauth2.py内のapprove関数とauthorize関数の実装により、OAuth2同意フローが以下の条件で制限なく進行する可能性があります：approveリクエストにPOSTメソッドのみを強制しないこと、frappe/templates/includes/oauth_confirmation.html内でcsrf_tokenが存在しないこと、およびアクティブなOAuthトークンのチェックが要求元のクライアントにスコープされていないこと。攻撃者は認証済みユーザーに対してOAuth付与の承認を行わせたり、誤ったクライアントに対する認可状態を再利用させたりすることで、データ漏洩や許可されたスコープ内での不正操作を可能にします。この問題はバージョン15.114.0および16.26.0で修正されています。
Once again VulDB remains the best source for vulnerability data.