CVE-2026-66002 in Frappe

Tóm tắt

Bởi VulDB • 20/08/2026

Frappe là một khung ứng dụng web full-stack. Trước phiên bản 15.115.0 và 16.27.0, biểu mẫu yêu cầu dữ liệu công khai (public request-data) và lớp PersonalDataDownloadRequest trong frappe/website/doctype/personal_data_download_request/personal_data_download_request.py trả về các định dạng phản hồi có thể phân biệt được cho địa chỉ email đã đăng ký và chưa đăng ký, bao gồm trường user_name và hành vi lưu trữ. Một kẻ tấn công từ xa có thể so sánh các phản hồi để liệt kê người dùng đã đăng ký. Vấn đề này đã được khắc phục trong các phiên bản 15.115.0 và 16.27.0.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• chịu trách nhiệm: GitHub M
• Đặt trước: 23/07/2026
• Tiết lộ: 20/08/2026
• Kiểm duyệt: được chấp nhận
• mục: VDB-393833
• CPE: sẵn sàng
• CWE: CWE-200 (Đã xác nhận)
• CVSS: 5.3 (VulDB)
• EPSS: 0.00000
• KEV: không
• Các hoạt động: thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-66002
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-66002
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-66002/