CVE-2026-81731 in Frappe
요약
\~에 의해 VulDB • 2026. 08. 27.
Frappe 15.11.0부터 16.32.0까지의 버전은 XSS 필터링 없이 워크스페이스 카드 설명을 저장하고 렌더링합니다. Workspace Link doctype의 description 필드는 frappe/desk/doctype/workspace_link/workspace_link.json에서 "ignore_xss_filter": 1로 선언되어 있으며, frappe/model/base_document.py의 _sanitize_content() 함수는 해당 플래그가 있는 모든 필드를 건너뛰므로 값이 제출된 그대로 저장됩니다. frappe.desk.desktop.get_desktop_page는 이를 변경 없이 반환하며, frappe/public/js/frappe/widgets/links_widget.js의 LinksWidget.set_body()는 html: true로 생성된 Bootstrap 팝오버에 __() 번역 헬퍼를 통해 이를 삽입합니다(해당 헬퍼는 HTML 이스케이프를 수행하지 않음). 따라서 Workspace Manager 역할을 가진 사용자는 공개 워크스페이스의 카드 설명에 임의의 마크업을 배치하여, 해당 워크스페이스를 열고 설명 위에 커서를 올리는 모든 데스크 사용자(고권한 사용자 포함)의 세션에서 그 코드가 실행되도록 할 수 있습니다. 이를 통해 공격자는 피해자의 세션 토큰을 탈취하고 피해자 권한으로 인증된 요청을 수행할 수 있습니다. 해당 플래그는 개발 브랜치에서는 제거되었지만, 출시된 15.x 및 16.x 릴리스 라인에는 여전히 존재하므로 수정 사항이 적용된 출시 버전은 없습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.