CVE-2026-115717 Falsificación de petición del servidor (SSRF) en Frappe Builder mediante convert_to_webp
El endpoint convert_to_webp de Frappe Builder no aplica el control de acceso has_page_write y realiza una llamada requests.get sin protección que sigue redirecciones sin revalidar las direcciones IP resueltas. Un usuario autenticado con bajos privilegios puede hacer que el servidor acceda a recursos de la red interna o a endpoints de metadatos en la nube, y las respuestas de imagen se guardan en una URL /files/ de lectura pública, lo que permite exfiltrar datos o sondear hosts internos. Corrige la versión 1.36.1.
CVSS 3.1
- CVSS 4.06.3 · media
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 24
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
frappe builder
desde 1.0.0 hasta antes de 1.36.1
Qué hacer
- Verificá si usás builder y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.7 ALTA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadNinguna
- DisponibilidadNinguna
CVSS 4.0 · 6.3 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:N/SC:H/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Alta
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Frappe Builder versions before 1.36.1 contain a server-side request forgery vulnerability in the convert_to_webp API endpoint, which lacks the has_page_write access control applied to similar asset-ingest handlers and performs an unprotected requests.get call that follows redirects without re-validating resolved IP addresses. A low-privilege authenticated user can supply an image_url pointing to an internal address or use DNS rebinding and open redirects to make the server fetch internal network resources or cloud metadata endpoints, with successful image responses saved to a world-readable /files/ URL enabling data exfiltration or blind probing of internal hosts.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.