Lỗ hổng SQL injection mù trong chức năng truy xuất sự kiện của Frappe Framework

Frappe Framework trước 16.33.0 chứa lỗ hổng blind SQL injection trong phương thức frappe.desk.doctype.event.event.get_events, do phương thức này không trung hòa đúng cách input do người dùng cung cấp trước khi đưa input vào các truy vấn SQL. Attacker đã xác thực có thể gửi input được tạo đặc biệt đến get_events và suy luận kết quả truy vấn từ hành vi của ứng dụng để trích xuất thông tin nhạy cảm từ database.

• Package frappe của Frappe: các phiên bản nhỏ hơn 16.33.0 được xác định là affected.
• Phiên bản 16.33.0 được advisory của vendor xác định là patched và trong record được đánh dấu unaffected.
• Evidence được xem xét không xác lập trạng thái của các phiên bản mới hơn hoặc các release branch song song; không nên suy ra phạm vi đó chỉ từ bản vá đã nêu.

Frappe Framework có phương thức frappe.desk.doctype.event.event.get_events tiếp nhận input do người dùng cung cấp và đưa input đó vào các truy vấn SQL mà không trung hòa đúng cách các ký tự đặc biệt. Đây là lỗi CWE-89, trong đó attacker có thể suy luận kết quả truy vấn từ cách ứng dụng phản hồi thay vì nhận trực tiếp dữ liệu truy vấn. Việc khai thác cần tài khoản đã xác thực và khả năng truy cập phương thức qua network; thông tin đánh giá cho biết không cần user interaction và độ phức tạp khai thác thấp. Evidence hiện có không xác định tham số đầu vào cụ thể, câu lệnh SQL, database engine hoặc chi tiết triển khai bản vá.

Lỗi có thể bị tiếp cận qua network và yêu cầu attacker đã xác thực. Evidence đánh giá rằng không cần user interaction và độ phức tạp khai thác thấp. Mô tả kỹ thuật cho biết attacker gửi input được tạo đặc biệt đến get_events rồi suy luận kết quả truy vấn từ hành vi của ứng dụng. Các nguồn được xem xét không xác lập exploit công khai, khai thác thực tế, campaign hoặc IOC cụ thể; trạng thái của các nội dung này nên được xem là chưa rõ thay vì được xem là không tồn tại.

Lỗi cho phép attacker đã xác thực suy luận dữ liệu từ truy vấn SQL thông qua hành vi của ứng dụng, tạo ra rủi ro chủ yếu đối với confidentiality của database. Tác động integrity thấp được ghi nhận trong structured assessment, nhưng mô tả công khai không giải thích liệu có thể sửa dữ liệu hay không, vì vậy không nên giả định khả năng arbitrary modification. Không có tác động availability riêng được mô tả trong assessment. Mức độ ảnh hưởng thực tế phụ thuộc vào dữ liệu mà tài khoản ứng dụng và database query context có thể tiếp cận.

Attacker có tài khoản hợp lệ có thể lợi dụng hành vi phản hồi của ứng dụng để trích xuất thông tin nhạy cảm trong database. Điều này có thể làm lộ dữ liệu nghiệp vụ hoặc thông tin khác mà database và quyền truy vấn của ứng dụng cho phép tiếp cận. Structured assessment ghi nhận tác động cao đến confidentiality và tác động thấp đến integrity, nhưng narrative công khai không mô tả một write path riêng hoặc đường dẫn gây gián đoạn dịch vụ. Evidence hiện có không nêu một nạn nhân, campaign hoặc breach cụ thể.

1. Nâng cấp package frappe lên đúng phiên bản đã được xác nhận là patched: 16.33.0.
2. Redeploy hoặc rebuild các dịch vụ sử dụng package affected, sau đó xác minh phiên bản thực tế trong runtime khớp với phiên bản đã cập nhật.
3. Nếu chưa thể cập nhật, coi deployment vẫn còn exposed. Advisory của vendor nêu rõ không có workaround; không nên xem biện pháp hạn chế truy cập là một bản sửa lỗi đã được vendor xác nhận.
4. Kiểm tra riêng từng release branch và deployment artifact. Không suy ra rằng mọi phiên bản sau phiên bản patched đều đã được xác minh nếu evidence không bao phủ chúng.

1. Kiểm kê các deployment sử dụng package frappe và đối chiếu phiên bản thực tế trong môi trường chạy với ranh giới affected và fixed được nêu trong phần affected summary.
2. Xác định các ứng dụng, route hoặc integration cho phép tài khoản đã xác thực gọi chức năng liên quan đến frappe.desk.doctype.event.event.get_events.
3. Rà soát log ứng dụng và access log để tìm các request lặp lại hoặc bất thường đến chức năng truy xuất sự kiện, đặc biệt khi input có dấu hiệu probing SQL. Đây là biện pháp giám sát thận trọng, không phải IOC đã được nguồn xác nhận.
4. Xác minh package đã triển khai sau khi cập nhật, thay vì chỉ kiểm tra lockfile hoặc source tree. Việc không thấy log đáng ngờ không chứng minh hệ thống an toàn.