إطار عمل Frappe قبل الإصدارين 15.111.0 و 16.x قبل 16.21.0 معرض لحقن القوالب من جهة الخادم عبر حقول الرسائل

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي إطار عمل Frappe قبل الإصدارين 15.111.0 و 16.x قبل 16.21.0 على ثغرة حقن قوالب من جهة الخادم نظراً لأنه يتم تقديم حقول الرسائل التي يتحكم بها المستخدم كقوالب دون تحييد، مما يتيح لمهاجم يملك حسابًا مصادقًا عليه حقن تعبيرات قوالب ينفذها الخادم.

المعالجة

1. أحصِ جميع نشرات frappe frappe، بما فيها بيئات الاختبار.
2. رقِّ frappe frappe إلى الإصدار المصحَّح الخاص بفرعك، كما يظهر في جدول الإصدارات المتأثرة.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تحذيرhttps://github.com/frappe/frappe/security/advisories/GHSA-6pmg-vc6m-6wrr
• تحذيرhttps://www.vulncheck.com/advisories/frappe-framework-before-15.111.0-and-16-x-before-16.21.0-server-side-template-injection-via-message-fields