Frappe Builder до 1.36.1: обход SSRF-защиты через HTTP-редирект (CVE-2026-115720)

В компоненте builder/api.py продукта Frappe Builder выявлена уязвимость серверной подделки запросов (SSRF), получившая идентификатор CVE-2026-115720. Проблема затрагивает версии до 1.36.1 и связана с неполной валидацией URL при выполнении серверных HTTP-запросов.

Подробности

Функция-охранник assert_not_private_url() проверяет только исходное имя хоста, тогда как последующий вызов requests.get(url) выполняется с настройками по умолчанию: автоматическим следованием редиректам и без привязки к IP-адресу (IP pinning). В результате атакующий может передать публичный URL, который по HTTP-редиректу перенаправляет запрос на внутренние или link-local адреса, никогда не проходившие проверку. Вектор атаки — эндпоинт convert_to_webp, у которого отсутствует декоратор проверки прав доступа. Аутентифицированный пользователь может вызвать его с URL, ведущим на внутренние цели, например на облачные metadata-сервисы. Это позволяет выполнять SSRF-запросы, сканировать внутренние порты, а из-за отсутствия таймаута — инициировать зависание запросов (denial of service). Затронутый продукт: Frappe Builder (версии до 1.36.1). Оценка CVSS — 5.3 (MEDIUM). Для эксплуатации требуется аутентификация.

Что делать

Основная рекомендация — обновить Frappe Builder до версии 1.36.1 или выше, где проблема устранена. Если обновление невозможно в кратчайшие сроки, следует рассмотреть компенсирующие меры:

• ограничить сетевой доступ серверов приложения к внутренним и link-local диапазонам, а также к metadata-сервисам облака;
• проверять доступность эндпоинта convert_to_webp и ограничить его использование доверенными ролями на уровне прокси/шлюза;
• настроить сетевое сегментирование и фильтрацию исходящих запросов (egress filtering) как дополнительный барьер против SSRF;
• контролировать журналы на предмет подозрительных исходящих запросов к внутренним адресам.

Также рекомендуется проверить наличие таймаутов на исходящие HTTP-запросы на уровне инфраструктуры. Итог: уязвимость требует аутентификации и имеет средний уровень критичности, однако позволяет обходить SSRF-защиту и обращаться к чувствительным внутренним ресурсам. Организациям, использующим Frappe Builder, следует приоритизировать обновление до 1.36.1 и усилить контроль исходящего трафика.

Источник: CVE Project (cvelistV5)