CVE-2026-65974
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.9
- EPSS
- 0.6%
- CWE
- CWE-1336
- KEV Durumu
- Hayır
Yayım tarihi: 17 Ağustos 2026
ERPNext, ücretsiz ve açık kaynaklı bir Enterprise Resource Planning aracıdır. 15.111.0 ve 16.22.0 sürümlerinden önceki sürümlerde, sınırlı yetkiye sahip kimlik doğrulama yapılmış kullanıcılar, frappe.render_template'in restrict_globals zorlaması olmadan açığa çıkması nedeniyle Frappe güvenli yürütme中的 izin sınırlarını aşabilir ve bu da sunucu tarafında şablon enjeksiyonuna ve uzaktan kod yürütülmesine izin verir. Bu sorun 15.111.0 ve 16.22.0 sürümlerinde çözülmüştür.
Orijinal açıklama (İngilizce)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.111.0 and 16.22.0, limited authenticated users can cross a permission boundary in Frappe safe execution because frappe.render_template is exposed without forcing restrict_globals, allowing server-side template injection and remote code execution. This issue is fixed in versions 15.111.0 and 16.22.0.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.