Omisión de autenticación en múltiples productos de Frappe Technologies
INCIBE-CERT avisos · 8 oct, 09:37
INCIBE ha publicado un aviso sobre una vulnerabilidad de autenticación (CVE-2026-4894) en Frappe Cloud y el servicio de registro de ERPNext. El fallo permite a atacantes no autenticados registrar cuentas usando direcciones de correo ajenas al suplantando identidades en el proceso de registro, sin acceso real a esos buzones. La vulnerabilidad ha sido solucionada por Frappe Technologies.
La vulnerabilidad CVE-2026-4894 reside en una validación insuficiente del campo email en el punto final /api/method/press.api.account.signup. Un atacante remoto puede enviar múltiples direcciones de correo electrónico (separadas adecuadamente) y el servicio procesa el valor completo como una lista válida de destinatarios, enviando el código OTP a todas ellas. Como el proceso valida que al menos uno de los correos sea válido, no requiere acceso a ninguno de los buzones para obtener el código de autenticación.
Las consecuencias incluyen: obtención del OTP sin control del buzón destino, suplantación de identidad en registro, creación de cuentas fraudulentas usando direcciones ajenas, y confirmación indirecta de direcciones de correo registradas. Con CVSS v4.0 de 6.9 (severidad media), el vector refleja un ataque remoto sin autenticación previa, sin requerimientos de interacción del usuario ni complejidad. El identificador asignado es INCIBE-2026-720.
Puntos clave
- Punto final vulnerable: /api/method/press.api.account.signup en Frappe Cloud y ERPNext
- Ataque sin autenticación previa, manipulación del campo email para múltiples direcciones
- Descubierto por Miguel Jiménez Cámara
- Ya solucionado por Frappe Technologies