CVE-2026-115718mediumCWE-862

CVE-2026-115718: falha de média gravidade em frappe builder

Frappe Builder 1.33.0 before 1.36.0 Missing Authorization via improve_prompt

Publicada em

Seguir esta CVE+ Monitorar builder

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.3epss 0.3%
Frappe Builder versions 1.33.0 before1.36.0 contain a missing authorization vulnerability in the improve_prompt endpoint that allows any authenticated non-Guest session to invoke LLM completions without proper permission checks. Attackers can call the improve_prompt API to leverage the site owner's stored OpenRouter API key via resolve_api_key, consuming paid LLM credits and effectively turning the site into a free LLM proxy.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
Produtos afetados
frappe · builder
CVEs relacionadas — frappe builder

No mesmo produto, das mais perigosas para as menos.

CVE-2026-115720MEDIUMFrappe Builder before 1.36.1 SSRF Guard Bypass via HTTP RedirectEPSS 0.3%CVE-2026-115717MEDIUMFrappe Builder before 1.36.1 SSRF via convert_to_webpEPSS 0.3%