某些 Frappe 请求存在路径遍历漏洞 (Path Traversal)

该路径遍历漏洞允许攻击者绕过应用程序的安全机制，直接访问服务器文件系统。攻击者可以利用此漏洞读取配置文件、源代码、数据库凭据或其他敏感数据。成功利用此漏洞可能导致数据泄露、权限提升，甚至可能导致对服务器的进一步控制。由于 Frappe Framework 被广泛用于构建各种 Web 应用程序，因此该漏洞的影响范围可能非常广泛。攻击者可以通过构造恶意的请求来触发此漏洞，例如在文件路径中使用 ../ 序列来访问父目录。

Organizations deploying Frappe Framework applications, particularly those using older versions (≤ 15.0.0, < 15.88.1), are at risk. Shared hosting environments where multiple applications share the same server infrastructure are also particularly vulnerable, as a successful attack on one application could potentially compromise others.

• linux / server: Monitor web server access logs for unusual file requests containing directory traversal sequences (e.g., ../).

grep -i '../' /var/log/apache2/access.log

• generic web: Use curl to test for path traversal vulnerabilities by appending directory traversal sequences to URLs.

curl 'http://your-frappe-instance/../../../../etc/passwd'

• python: Review Frappe Framework code for instances where user-supplied input is used to construct file paths without proper sanitization.

1. 2026-01-05Disclosure

   disclosure

1. 已保留2025-12-26
2. 发布日期2026-01-05
3. 修改日期2026-01-06
4. EPSS 更新日期2026-03-23

最有效的缓解措施是升级到受影响版本之后的修复版本，即 14.99.6 或 15.88.1。如果无法立即升级，建议使用反向代理作为临时解决方案。反向代理可以充当应用程序和外部世界之间的屏障，并可以配置为阻止对敏感文件的直接访问。此外，应审查应用程序代码，以确保所有用户输入都经过适当的清理和验证，以防止未来的路径遍历攻击。建议实施严格的访问控制策略，限制对服务器文件系统的访问。