PT-2026-111022

CVE-2026-109603

Publicado

2026-10-12

Atualizado

2026-10-13

Descrição por

CVSS 4.0

4.8

Média

MétricasAV:L/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:L/SI:L/SA:L

Nome do Software Vulnerável e Versões Afetadas Frappe Framework versões 15.x até 15.107.2 Frappe Framework versões 16.x até 16.16.9

Description O software utiliza uma biblioteca pdfkit vulnerável para a geração de PDFs, o que permite que atacantes autenticados realizem server-side request forgery (SSRF) e local file inclusion (LFI). Ao fornecer conteúdo especialmente manipulado para a renderização de PDF, um atacante pode forçar o servidor a buscar recursos internos ou incorporar arquivos locais do servidor nos documentos PDF gerados.

Recommendations Atualize o Frappe Framework 15.x para a versão 15.107.3 ou posterior. Atualize o Frappe Framework 16.x para a versão 16.17.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Ankush

Iamejaaz

Rgjny

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-918: Server-Side Request Forgery (SSRF)