Bepaalde Frappe verzoeken zijn kwetsbaar voor Path Traversal

Een succesvolle exploitatie van deze Path Traversal kwetsbaarheid stelt een aanvaller in staat om gevoelige informatie te extraheren van de server waarop Frappe Framework draait. Dit kan configuratiebestanden, broncode, database credentials of andere vertrouwelijke gegevens omvatten. De impact is aanzienlijk, omdat de aanvaller potentieel volledige controle kan krijgen over de server of toegang kan krijgen tot gevoelige gegevens die in de applicatie zijn opgeslagen. De kwetsbaarheid is vergelijkbaar met andere Path Traversal exploits waarbij een aanvaller de directory structuur kan navigeren om bestanden buiten de beoogde toegangspunten te benaderen.

Organizations deploying Frappe Framework applications, particularly those using older versions (≤ 15.0.0, < 15.88.1), are at risk. Shared hosting environments where multiple applications share the same server infrastructure are also particularly vulnerable, as a successful attack on one application could potentially compromise others.

• linux / server: Monitor web server access logs for unusual file requests containing directory traversal sequences (e.g., ../).

grep -i '../' /var/log/apache2/access.log

• generic web: Use curl to test for path traversal vulnerabilities by appending directory traversal sequences to URLs.

curl 'http://your-frappe-instance/../../../../etc/passwd'

• python: Review Frappe Framework code for instances where user-supplied input is used to construct file paths without proper sanitization.

1. 2026-01-05Disclosure

   disclosure

1. Gereserveerd2025-12-26
2. Gepubliceerd2026-01-05
3. Gewijzigd2026-01-06
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie voor CVE-2025-68953 is het updaten van Frappe Framework naar versie 14.99.6 of 15.88.1. Indien een directe upgrade niet mogelijk is, kan het implementeren van een reverse proxy een tijdelijke oplossing bieden. De reverse proxy kan worden geconfigureerd om alle inkomende verzoeken te valideren en te filteren, waardoor de mogelijkheid van path traversal wordt verminderd. Controleer ook de configuratie van Frappe Framework om er zeker van te zijn dat er geen onnodige bestanden toegankelijk zijn via het web. Na de upgrade, bevestig de fix door te proberen een bestand buiten de toegestane directory's te benaderen via een web browser of een tool zoals curl.