「Frappe Framework」「ERPNext」にXSS脆弱性 - 管理者権限奪取のおそれ

ウェブアプリケーション基盤「Frappe Framework」やERPアプリケーション「ERPNext」が影響を受ける深刻な脆弱性が明らかとなった。

「Frappe Framework 15.89.0」の「Attachments」モジュールに脆弱性「CVE-2025-67289」が確認されたもの。「ERPNext 15.89.0」も影響を受ける。

認証されたユーザーは任意のファイルをアップロードでき、管理者を細工したXMLファイルやHTMLファイルに誘導することでブラウザ上でスクリプトを実行させる格納型クロスサイトスクリプティング（XSS）が判明した。

スクリプトが意図せず実行され、権限の昇格、アプリケーションにおけるデータの改ざんや操作、機密情報へのアクセスなどに悪用されるおそれがある。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.6」、重要度を4段階中もっとも高い「クリティカル（Critical）」としている。

同バージョン以降、アップデートが複数回にわたり実施されており、現地時間2025年12月16日には「Frappe Framework 15.92.0」もリリースされているが、リリースノートの修正内容に脆弱性に関する言及はなく、修正状況は不明となっている。

（Security NEXT - 2025/12/23 ）ツイート