CVE-2026-55823

8.7 Élevée

Publiée le 13/10/2026 à 19:17 · Modifiée le 13/10/2026 à 20:17 · Analyse NVD reportée · Source : security-advisories@github.com

Description

Frappe is a full-stack web application framework. Prior to 16.23.0, the get_count() method in reportview composes a count operation around generated SQL through a raw database execution path, allowing crafted report input to alter SQL executed by the application. This issue is fixed in version 16.23.0.

Traduire en français

Produits concernés

frappe

Scores CVSS

Version	Score	Source	Vecteur
4.0	8.7 Élevée	security-advisories@github.com	`CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`

Faiblesses (CWE)

CWE-89

Références

https://github.com/frappe/frappe/commit/49dbde7460fa41528154088d23b6c6e12f733f9b
https://github.com/frappe/frappe/commit/f4f2df926e3c2db2da5fc79983f285397c028690
https://github.com/frappe/frappe/pull/40022
https://github.com/frappe/frappe/pull/40027
https://github.com/frappe/frappe/releases/tag/v16.23.0
https://github.com/frappe/frappe/security/advisories/GHSA-mf6r-q34j-pjw7

Ailleurs

NVD
CVE.org
CIRCL Vulnerability-Lookup
CERT-FR
GitHub Advisories