कुछ Frappe अनुरोध (Frappe requests) पाथ ट्रावर्सल (Path Traversal) के प्रति संवेदनशील हैं

यह भेद्यता हमलावरों को Frappe Framework सर्वर पर संग्रहीत संवेदनशील जानकारी तक अनधिकृत पहुंच प्राप्त करने की अनुमति देती है। हमलावर सर्वर फ़ाइल सिस्टम को ब्राउज़ कर सकते हैं और कॉन्फ़िगरेशन फ़ाइलों, डेटाबेस बैकअप या अन्य संवेदनशील डेटा जैसी फ़ाइलों को डाउनलोड कर सकते हैं। इस भेद्यता का उपयोग सर्वर पर कोड निष्पादित करने या अन्य सिस्टम तक पहुंच प्राप्त करने के लिए भी किया जा सकता है, जिससे संभावित रूप से सिस्टम की सुरक्षा से समझौता हो सकता है। एक सफल शोषण से डेटा उल्लंघन, सिस्टम समझौता और सेवा व्यवधान हो सकता है।

Organizations deploying Frappe Framework applications, particularly those using older versions (≤ 15.0.0, < 15.88.1), are at risk. Shared hosting environments where multiple applications share the same server infrastructure are also particularly vulnerable, as a successful attack on one application could potentially compromise others.

• linux / server: Monitor web server access logs for unusual file requests containing directory traversal sequences (e.g., ../).

grep -i '../' /var/log/apache2/access.log

• generic web: Use curl to test for path traversal vulnerabilities by appending directory traversal sequences to URLs.

curl 'http://your-frappe-instance/../../../../etc/passwd'

• python: Review Frappe Framework code for instances where user-supplied input is used to construct file paths without proper sanitization.

1. 2026-01-05Disclosure

   disclosure

1. आरक्षित2025-12-26
2. प्रकाशित2026-01-05
3. संशोधित2026-01-06
4. EPSS अद्यतन2026-03-23

Frappe Framework को संस्करण 14.99.6 या 15.88.1 में अपग्रेड करना इस भेद्यता को ठीक करने का सबसे प्रभावी तरीका है। यदि तत्काल अपग्रेड संभव नहीं है, तो एक रिवर्स प्रॉक्सी का उपयोग करना एक अस्थायी समाधान हो सकता है। रिवर्स प्रॉक्सी अनुरोधों को फ़िल्टर कर सकता है और पाथ ट्रैवर्सल हमलों को रोक सकता है। इसके अतिरिक्त, सभी उपयोगकर्ता इनपुट को ठीक से मान्य और सैनिटाइज करना महत्वपूर्ण है ताकि यह सुनिश्चित किया जा सके कि हमलावर दुर्भावनापूर्ण फ़ाइल पथ इंजेक्ट नहीं कर सकते हैं।