- Yama var
- Son 7 gün
- CWE-862
CVE-2026-115718
Frappe Builder'da improve_prompt uç noktasında eksik yetkilendirme sorunu
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Frappe Builder 1.33.0 ile 1.36.0 öncesi sürümleri, improve_prompt uç noktasında eksik yetkilendirme zafiyeti içermektedir. Bu zafiyet, kimliği doğrulanmış ve Guest olmayan herhangi bir oturumun, uygun izin denetimleri yapılmadan LLM tamamlamalarını çağırmasına olanak tanımaktadır. Saldırganlar improve_prompt API'sini çağırarak, resolve_api_key üzerinden site sahibinin kayıtlı OpenRouter API anahtarından yararlanabilir; bu da ücretli LLM kredilerinin tüketilmesine ve sitenin etkin biçimde ücretsiz bir LLM proxy'sine dönüşmesine yol açmaktadır.
Kaynaktaki açıklama (İngilizce)
Frappe Builder versions 1.33.0 before1.36.0 contain a missing authorization vulnerability in the improve_prompt endpoint that allows any authenticated non-Guest session to invoke LLM completions without proper permission checks. Attackers can call the improve_prompt API to leverage the site owner's stored OpenRouter API key via resolve_api_key, consuming paid LLM credits and effectively turning the site into a free LLM proxy.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| frappe builder | ≥ 1.33.0, < 1.36.0 | 1.36.0 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.