p PatchFirst

CVE-2026-111388

CVE-2026-111388 · Frappe before 16.33.0 restrict_ip Allowlist Bypass via API Key, OAuth Authentication

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Frappe Framework before 15.120.0 and 16.x before 16.33.0 does not enforce the per-user restrict_ip allowlist for non-session authentication methods, including API key, OAuth, and header-based authentication. Attackers holding valid credentials of these types can authenticate from IP addresses outside the allowlist, defeating the configured network-based access restrictions.

CVSS 5.3 · Media · EPSS 0,2% · Corrección disponible

Publicación
Actualización

Productos y versiones afectados

  • frappe

    Versiones
    • ≥ 16.0.0, < 16.33.0: Afectada (semver)
    • 16.33.0: No afectada (semver)

    Actualiza a 16.33.0

  • frappe

    Versiones
    • ≥ 0, < 15.120.0: Afectada (semver)
    • 15.120.0: No afectada (semver)

    Actualiza a 15.120.0

Fuentes originales

Comprueba tu servidor →