JVNDB-2026-031122

Frappeにおけるクロスサイトスクリプティングの脆弱性

Frappe 15.11.0から16.32.0までのバージョンでは、ワークスペースカードの説明がXSSフィルタリングなしで保存およびレンダリングされます。Workspace Linkのdoctypeのdescriptionフィールドは、frappe/desk/doctype/workspace_link/workspace_link.json内で「"ignore_xss_filter": 1」と宣言されており、frappe/model/base_document.pyの_sanitize_content()はそのフラグが付いたフィールドをスキップするため、その値は送信されたままの状態で保存されます。frappe.desk.desktop.get_desktop_pageはこの値を変更せずに返し、frappe/public/js/frappe/widgets/links_widget.js内のLinksWidget.set_body()は__( )翻訳ヘルパーを経由してBootstrapのpopover（html: trueで作成）にそのまま埋め込みますが、このヘルパーはHTMLのエスケープを行いません。したがって、Workspace Managerロールを持つユーザーはパブリックワークスペースのカード説明に任意のマークアップを挿入でき、そのワークスペースを開いて説明にマウスをホバーした任意のデスクユーザー（より高権限のユーザーを含む）のセッション内でそのマークアップが実行されます。これにより、セッショントークンの窃取や被害者としての認証済みリクエストが可能になります。このフラグは開発ブランチで削除されていますが、リリースされた15.xおよび16.xのバージョンには残っているため、リリース済みのいずれのバージョンにも修正は含まれていません。

Frappe

• Frappe 15.11.0 から 16.32.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

VulnCheck

• VulnCheck : Frappe 15.11.0 through 16.32.0 Stored XSS via Workspace Link Description  | Advisories | VulnCheck

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-81731

1. National Vulnerability Database (NVD) : CVE-2026-81731
2. 関連文書 : frappe/frappe/desk/doctype/workspace_link/workspace_link.json at v16.32.0  frappe/frappe  GitHub
3. 関連文書 : frappe/frappe/public/js/frappe/widgets/links_widget.js at v16.32.0  frappe/frappe  GitHub
4. 関連文書 : Merge pull request #40748 from sokumon/workspace-link  frappe/frappe@9f65e5c  GitHub
5. 関連文書 : GitHub - frappe/frappe: Low code web framework for real world applications, in Python and Javascript  GitHub

• [2026年09月01日]
    掲載