CVE-2026-72911
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.9
- EPSS
- 0.7%
- CWE
- CWE-1336
- KEV Durumu
- Hayır
Yayım tarihi: 10 Ağustos 2026
ERPNext, ücretsiz ve açık kaynaklı bir Enterprise Resource Planning aracıdır. 15.118.0 ve 16.29.0 sürümlerinden önceki sürümlerde, erpnext/accounts/doctype/process_statement_of_accounts/process_statement_of_accounts.py dosyasındaki validate_template ve render_template çağrıları, subject, body ve pdf_name alanlarını kısıtlama olmadan frappe.utils dahil olmak üzere tüm değişkenlerle birlikte işler. Bu, ortak bir operasyonel role sahip bir kimlik doğrulama yapılmış kullanıcıya, şablon ifadelerini enjekte etme, keyfi sunucu tarafı kodunu çalıştırma ve uygulamanın genelinde veri okuma olanağı sağlar. Bu sorun, 15.118.0 ve 16.29.0 sürümlerinde giderilmiştir.
Orijinal açıklama (İngilizce)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.118.0 and 16.29.0, the validate_template and render_template calls in erpnext/accounts/doctype/process_statement_of_accounts/process_statement_of_accounts.py render subject, body, and pdf_name fields with unrestricted globals including frappe.utils, allowing an authenticated user with a common operational role to inject template expressions, execute arbitrary server-side code, and read data across the application. This issue is fixed in versions 15.118.0 and 16.29.0.
Referanslar
- https://github.com/frappe/erpnext/commit/5f6952b15c1f6ee893770d5bc618558a6ba41a28
- https://github.com/frappe/erpnext/commit/88443e4a97c6c0a40d85a9e6785577191296ee39
- https://github.com/frappe/erpnext/commit/ecb6d48ec025e0c94abac35b2e4f7607f4c86465
- https://github.com/frappe/erpnext/pull/56458
- https://github.com/frappe/erpnext/releases/tag/v15.118.0
- https://github.com/frappe/erpnext/releases/tag/v16.29.0
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.