一、 漏洞 CVE-2023-46127 基础信息
漏洞标题
任何Desk用户都可以利用Frappe的HTML注入漏洞
来源：AIGC 神龙大模型
漏洞描述信息
## 漏洞概述 Frappe 是一个全栈 Web 应用程序框架，该框架在服务器端使用 Python 和 MariaDB，并集成客户端库。恶意用户可以通过创建包含 HTML 有效负载的文档，导致 HTML 注入攻击。 ## 影响版本 - 影响版本：所有低于 14.49.0 的版本 - 修复版本：14.49.0 ## 漏洞细节 恶意用户通过创建包含 HTML 有效负载的文档，可以注入任意 HTML 代码。这些 HTML 代码可能被其他用户加载，从而导致跨站脚本（XSS）攻击或其他 HTML 注入攻击。 ## 漏洞影响 恶意用户可以利用此漏洞执行跨站脚本攻击，导致其他用户误执行恶意代码，可能引发信息泄露、会话劫持等安全问题。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N
来源：AIGC 神龙大模型
漏洞类别
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源：AIGC 神龙大模型
漏洞标题
Frappe vulnerable to HTML injection by any Desk user
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Frappe is a full-stack web application framework that uses Python and MariaDB on the server side and an integrated client side library. A malicious Frappe user with desk access could create documents containing HTML payloads allowing HTML Injection. This vulnerability has been patched in version 14.49.0.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源：美国国家漏洞数据库 NVD
漏洞标题
Frappe Technologies Frappe 跨站脚本漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Frappe Technologies Frappe是印度Frappe Technologies公司的一个基于Python、Mariadb的并集成前端页面的Web开发框架。 Frappe Technologies Frappe 14.49.0之前版本存在安全漏洞，该漏洞源于具有桌面访问权限的恶意 Frappe 用户可以创建包含允许 HTML 注入的 HTML 有效负载的文档。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
跨站脚本
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2023-46127 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2023-46127 的情报信息