Frappe vulnerable to information disclosure leading to account takeover

CAO 7.5CVE-2025-30214 · GHSA-qrv3-jc3h-f3m6 · PYSEC-2026-1392 · Công bố 25/03/2025 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2025-30214 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng frappe, frappe (frappe).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.41%, cao hơn 35.8% các lỗ hổng khác.
Cách xử lý: cập nhật lên 15.51.0, 14.89.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
frappe PyPI	`≥ 15.0.0, < 15.51.0< 14.89.0`	`15.51.014.89.0`
frappe frappe	`≥ 15.0.0, < 15.51.0< 14.89.0`	`15.51.014.89.0`

Mô tả

Impact

Making crafted requests could lead to information disclosure that could further lead to account takeover.

Workarounds

There's no workaround to fix this without upgrading.

Credits

Thanks to Thanh of Calif.io for reporting the issue

Mô tả của NVD

Frappe is a full-stack web application framework. Prior to versions 14.89.0 and 15.51.0, making crafted requests could lead to information disclosure that could further lead to account takeover. Versions 14.89.0 and 15.51.0 fix the issue. There's no workaround to fix this without upgrading.