p PatchFirst

CVE-2026-111388

CVE-2026-111388 · Frappe before 16.33.0 restrict_ip Allowlist Bypass via API Key, OAuth Authentication

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Frappe Framework before 15.120.0 and 16.x before 16.33.0 does not enforce the per-user restrict_ip allowlist for non-session authentication methods, including API key, OAuth, and header-based authentication. Attackers holding valid credentials of these types can authenticate from IP addresses outside the allowlist, defeating the configured network-based access restrictions.

CVSS 5.3 · Mittel · EPSS 0,2% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Betroffene Produkte und Versionen

  • frappe

    Softwareversionen
    • ≥ 16.0.0, < 16.33.0: Betroffen (semver)
    • 16.33.0: Nicht betroffen (semver)

    Auf 16.33.0 aktualisieren

  • frappe

    Softwareversionen
    • ≥ 0, < 15.120.0: Betroffen (semver)
    • 15.120.0: Nicht betroffen (semver)

    Auf 15.120.0 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →