CVE-2025-66434

WysokieCVSS 8.8

Opublikowano: 15/12/2025(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.59%

Percentyl 47 - wyżej niż 47% wszystkich znanych CVE

Streszczenie

W metodzie get_dunning_letter_text w Frappe ERPNext do wersji 15.89.0 występuje podatność Server-Side Template Injection (SSTI). Uwierzytelniony atakujący z dostępem do konfiguracji Dunning Type i powiązanej tabeli Dunning Letter Text może wstrzyknąć złośliwe wyrażenia Jinja, co prowadzi do wykonania kodu po stronie serwera i wycieku informacji z bazy danych.

Ocena ryzyka

Atakujący może wykonać kod w ograniczonym, ale niebezpiecznym kontekście serwera ERPNext, co może skutkować ujawnieniem danych z bazy danych. Wymaga to uwierzytelnienia i odpowiednich uprawnień.

Rekomendacja

Zaktualizuj Frappe ERPNext do wersji nowszej niż 15.89.0, która zawiera poprawkę. Ogranicz uprawnienia do konfiguracji Dunning Type i monitoruj podejrzane działania.

Inne podatności w Frappe ERPNext

Zobacz wszystkie

Oryginalny opis (angielski, źródło NVD)

An SSTI (Server-Side Template Injection) vulnerability exists in the get_dunning_letter_text method of Frappe ERPNext through 15.89.0. The function renders attacker-controlled Jinja2 templates (body_text) using frappe.render_template() with a user-supplied context (doc). Although Frappe uses a custom SandboxedEnvironment, several dangerous globals such as frappe.db.sql are still available in the execution context via get_safe_globals(). An authenticated attacker with access to configure Dunning Type and its child table Dunning Letter Text can inject arbitrary Jinja expressions, resulting in server-side code execution within a restricted but still unsafe context. This can leak database information.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS