CVE-2026-38432
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
ERPNext w wersji 15.103.1 i wcześniejszych jest podatny na Cross-Site Scripting (XSS) w silniku szablonów e-mail. Atakujący z uprawnieniami do tworzenia lub edycji szablonów e-mail może wstrzyknąć złośliwy kod JavaScript, który wykonuje się w przeglądarce ofiary podczas stosowania szablonu.
Ocena ryzyka
Atakujący może wykraść dane sesji lub wykonać inne szkodliwe działania w kontekście ofiary, co może prowadzić do naruszenia poufności danych.
Rekomendacja
Zaktualizuj ERPNext do wersji nowszej niż 15.103.1, która zawiera poprawkę XSS.
Oryginalny opis (angielski, źródło NVD)
ERPNext v15.103.1 and before is vulnerable to Cross Site Scripting (XSS) in the Email Template engine. An attacker with permission to create or edit email templates can inject malicious JavaScript code that are executed on the victim's browser when the template is applied.