- Yama var
- Son 7 gün
- CWE-1336
CVE-2026-119144
Frappe Framework'te mesaj alanlarından kaynaklanan sunucu taraflı şablon enjeksiyonu
- Yayımlandı
- Güncellendi
- 29 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sisteme giriş yapabilen bir kullanıcının sunucu üzerinde kontrol kazanmasına yol açabilecek ciddi bir risk taşır. Kişisel ve ticari verilerin ele geçirilmesi veya değiştirilmesi mümkün olabilir. Etkilenen Frappe kurulumlarının hemen güncellenmesi önerilir.
ÖzetTürkçe
Frappe Framework'ün 15.111.0 öncesi sürümleri ile 16.21.0 öncesi 16.x sürümleri, kullanıcı kontrolündeki mesaj alanlarını nötralize etmeden şablon olarak işler. Bu nedenle sunucu taraflı şablon enjeksiyonu açığı bulunur. Etkilenen sistemler, bu sürümleri çalıştıran Frappe kurulumlarıdır.
Saldırgan ne yapabilir?
Kimliği doğrulanmış ve yaygın bir operasyonel role sahip bir saldırgan, sunucunun kısıtlanmamış bir bağlamda değerlendirdiği şablon ifadeleri enjekte edebilir. Bu, sunucuda komut çalıştırma, veri okuma ve veri değiştirme gibi sonuçlara yol açabilir.
Kaynaktaki açıklama (İngilizce)
Frappe Framework before 15.111.0 and 16.x before 16.21.0 contains a server-side template injection vulnerability because user-controlled message fields are rendered as templates without neutralization. An authenticated attacker holding a common operational role can inject template expressions that the server evaluates in an unrestricted context.
Ne yapmalı?
- Frappe Framework'ü 15.111.0 veya 16.21.0 sürümüne yükseltin. Hangi dalda çalıştığınıza göre uygun sürümü seçin. Üretici
- Güncellemeden önce, mesaj alanlarını düzenleyebilen kullanıcı rollerini gözden geçirin ve gereksiz yetkileri kaldırın. Genel öneri
- Güncelleme sonrası sistem günlüklerinde şüpheli şablon ifadeleri veya olağandışı mesaj içeriklerini kontrol edin. Genel öneri
Ek önlemler
- Yalnızca güvenilen kullanıcılara yönetici ve mesajlaşma yetkisi verin ve yetkilendirmeleri düzenli olarak denetleyin. Genel öneri
- Kritik uygulama kullanıcı hesapları için çok faktörlü kimlik doğrulamayı etkinleştirin. Genel öneri
- Uygulama ve sunucu günlüklerini merkezi bir yere aktarıp anormal istek ve kullanıcı davranışlarını izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| frappe | ≥ 16.0.0, < 16.21.0 | 16.21.0 |
| 16.21.0 Etkilenmiyor | – | |
| < 15.111.0 | 15.111.0 | |
| 15.111.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.