Aardg10

Frappe Framework before 16.33.0 contains a blind SQL injection vulnerability in the frappe.desk.doctype.event.event.get events method, which fails to properly neutralize user-supplied input before including it in SQL queries. Authenticated attackers can send crafted input to get events and infer query results from application behavior to extract sensitive database information.

**اسم البرنامج المصاب والإصدارات المتأثرة** Frappe Framework الإصدارات السابقة لـ 15.120.0 Frappe Framework إصدارات 16.x السابقة لـ 16.33.0 **Description** يوجد خلل في التصريح في نقطة نهاية واجهة برمجة التطبيقات 'send sms' المدرجة في القائمة البيضاء. يفشل النظام في التحقق مما إذا كان المتصل لديه الأذونات اللازمة لإرسال رسائل SMS، مما يسمح للمستخدمين غير المصرح لهم بإرسال رسائل عشوائية تنتحل صفة الشركة. **Recommendations** التحديث إلى الإصدار 15.120.0 أو أحدث. التحديث إلى الإصدار 16.33.0 أو أحدث. تقييد الوصول إلى نقطة نهاية واجهة برمجة التطبيقات 'send sms' للمستخدمين المصرح لهم فقط.

**اسم البرنامج المصاب والإصدارات المتأثرة** Frappe Framework الإصدارات السابقة لـ 15.118.0 Frappe Framework إصدارات 16.x السابقة لـ 16.31.0 **Description** يفشل النظام في التحقق مما إذا كان حساب المستخدم معطلاً قبل إرسال إشعارات البريد الإلكتروني لمتابعة المستندات. نتيجة لذلك، يستمر المستخدمون الذين تم تعطيل حساباتهم في تلقي تحديثات البريد الإلكتروني حول النشاط في المستندات التي كانوا يتابعونها سابقاً، على الرغم من سحب صلاحيات وصولهم. **Recommendations** التحديث إلى الإصدار 15.118.0 أو أحدث. التحديث إلى الإصدار 16.31.0 أو أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Frappe الإصدارات السابقة لـ 15.118.0 Frappe الإصدارات 16.x السابقة لـ 16.31.0 **Description** توجد ثغرة cross-site scripting مخزنة في عوامل تصفية مخطط لوحة القيادة. يحدث هذا لأن jQuery يقوم بتصيير قيم التصفية المدخلة كنص غني (rich text)، مما يسمح للمهاجمين المصرح لهم بتخزين قيم خبيثة تقوم بتنفيذ برمجيات نصية في متصفحات المستخدمين الذين يشاهدون مخطط لوحة القيادة. **Recommendations** التحديث إلى الإصدار 15.118.0 أو أحدث. التحديث إلى الإصدار 16.31.0 أو أحدث.