Frappe 15.121.0/16.34.0 之前版本發現路徑遍歷 RCE 漏洞 (CVE-2026-119145)
CVE-2026-119145 - Frappe before 15.121.0 and 16.x before 16.34.0 Path Traversal RCE via File Upload
Frappe 15.121.0 之前及 16.x 16.34.0 之前版本存在路徑遍歷漏洞，已驗證使用者可上傳檔案至非預期目錄，導致遠端執行。
此漏洞允許已驗證使用者上傳檔案至非預期目錄，造成遠端執行，須即時升級至 15.121.0 或 16.34.0 以阻止攻擊，並採取相應許可權控制以降低風險。
Frappe 15.121.0 以前及 16.x 16.34.0 以前存在路徑穿越漏洞，因為某些檔案上傳處理未在寫入磁碟前驗證目標路徑。已授權攻擊者可上傳精心製作的檔案至預期儲存目錄之外的位置，以實現伺服器上的遠端程式碼執行。
影響
受影響產品
以下產品受到 CVE-2026-119145
漏洞影響。
即使 cvefeed.io 知道受影響產品的確切版本，資訊也未在下表中呈現。
尚未記錄受影響產品
Common Vulnerability Scoring System（CVSS）是一套標準化框架 用於評估軟體與系統漏洞的嚴重性。 我們收集並顯示各來源的 CVSS 分數，針對每個 CVE。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | CRITICAL | 83251b91-4cc7-4094-a5c7-464a1b83ea10 | ||||
| CVSS 4.0 | CRITICAL | 83251b91-4cc7-4094-a5c7-464a1b83ea10 |
更新 Frappe 至最新版本以修復路徑穿越與 RCE 漏洞。
- 更新 Frappe 至 15.121.0 或更高版本。
- 更新 Frappe 至 16.34.0 或更高版本。
- 套用供應商對受影響 Frappe 版本的補丁。
我們掃描 GitHub 倉庫以偵測新的概念驗證（PoC）攻擊。以下列表為已在 GitHub 上發布的公開攻擊與概念驗證（按最近更新排序）。
由於潛在的效能問題，結果僅限前 15 個倉庫。
以下列表為文章中提及 CVE-2026-119145 漏洞的新聞。
EPSS 是對未來 30 天內觀測到利用活動的每日機率估算。下圖顯示該漏洞的 EPSS 分數歷史。