CVE-2026-66001

Nome do Software Vulnerável e Versões Afetadas Frappe versões anteriores a 15.114.0 Frappe versões anteriores a 16.26.0

Description Uma autorização inadequada no fluxo de consentimento OAuth2 permite que as funções approve() e authorize() em frappe/integrations/oauth2.py prossigam sem restringir a ação approve a requisições POST. Além disso, o arquivo frappe/templates/includes/oauth confirmation.html não possui um csrf token (token Cross-Site Request Forgery, um valor único usado para evitar que comandos não autorizados sejam transmitidos por um usuário em quem a aplicação web confia), e as verificações de tokens OAuth ativos não são limitadas ao cliente solicitante. Isso permite que um invasor induza um usuário autenticado a aprovar uma concessão OAuth ou reutilizar o estado de autorização para um cliente incorreto, expondo dados e permitindo ações não autorizadas dentro dos escopos concedidos.

Recommendations Atualizar para a versão 15.114.0. Atualizar para a versão 16.26.0.