出典: Security NEXT – https://www.security-next.com/178872
「Frappe Framework」「ERPNext」にXSS脆弱性 – 管理者権限奪取のおそれ
「Frappe Framework」「ERPNext」にXSS脆弱性 – 管理者権限奪取のおそれ
ウェブアプリケーション基盤「Frappe Framework」やERPアプリケーション「ERPNext」が影響を受ける深刻な脆弱性が明らかとなった。
「Frappe Framework 15.89.0」の「Attachments」モジュールに脆弱性「CVE-2025-67289」が確認されたもの。「ERPNext 15.89.0」も影響を受ける。
認証されたユーザーは任意のファイルをアップロードでき、管理者を細工したXMLファイルやHTMLファイルに誘導することでブラウザ上でスクリプトを実行させる格納型クロスサイトスクリプティング（XSS）が判明した。
スクリプトが意図せず実行され、権限の昇格、アプリケーションにおけるデータの改ざんや操作、機密情報へのアクセスなどに悪用されるおそれがある。
米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.6」、重要度を4段階中もっとも高い「クリティカル（Critica
