CVE-2026-72908
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
ERPNext przed wersjami 15.109.0 i 16.20.0 ma podatność na wstrzykiwanie SQL w funkcji get_tax_template w erpnext/accounts/doctype/tax_rule/tax_rule.py, która konstruuje klauzulę WHERE z wartości pochodzących z żądania (posting_date i args). Uwierzytelniony użytkownik z niskimi uprawnieniami może wstrzyknąć SQL i wyodrębnić wrażliwe informacje.
Ocena ryzyka
Ryzyko wycieku poufnych danych z bazy danych, co może naruszyć prywatność i integralność danych organizacji.
Rekomendacja
Zaktualizuj ERPNext do wersji 15.109.0 lub 16.20.0, w których naprawiono tę podatność. Ogranicz uprawnienia użytkowników i monitoruj zapytania SQL.
Inne podatności w ERPNext
Zobacz wszystkie- CVE-2018-3885Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania HTTP mogą prowadzić do kompromitacji danych poprzez wykorzystanie parametru order_by.
- CVE-2018-3884Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania webowe mogą prowadzić do kompromitacji danych.
- CVE-2018-3883Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na wstrzykiwanie SQL w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania sieciowe mogą prowadzić do kompromitacji danych poprzez atak SQL injection.
- CVE-2018-3882Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Złośliwie skonstruowane żądania webowe mogą prowadzić do kompromitacji danych poprzez wykorzystanie parametru searchfield.
- CVE-2026-65974Krytyczne
ERPNext to darmowe narzędzie do planowania zasobów przedsiębiorstwa o otwartym kodzie źródłowym. Przed wersjami 15.111.0 i 16.22.0, ograniczeni uwierzytelnieni użytkownicy mogą przekroczyć granicę uprawnień w bezpiecznym wykonywaniu Frappe, ponieważ frappe.render_template jest udostępniane bez wymuszania restrict_globals, co pozwala na wstrzyknięcie szablonów po stronie serwera i zdalne wykonanie kodu. Problem został naprawiony w wersjach 15.111.0 i 16.22.0.
- CVE-2026-72911Krytyczne
ERPNext przed wersjami 15.118.0 i 16.29.0 zawiera podatność polegającą na niebezpiecznym renderowaniu szablonów w procesie generowania wyciągów z kont. Uwierzytelniony użytkownik z typową rolą operacyjną może wstrzyknąć wyrażenia szablonu, wykonać dowolny kod po stronie serwera i odczytać dane w całej aplikacji.
- CVE-2026-44442Krytyczne
ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 16.9.1, niektóre punkty końcowe nie egzekwowały odpowiednich kontroli autoryzacji, co pozwalało użytkownikom na modyfikację danych wykraczających poza ich uprawnienia.
- CVE-2026-38431Krytyczne
ERPNext w wersji 15.103.1 i starszych jest podatny na wstrzykiwanie szablonów po stronie serwera (SSTI). Osoba z uprawnieniami do tworzenia lub edycji szablonów e-mail może wstrzyknąć wyrażenia szablonu, które są wykonywane na serwerze podczas renderowania.
- CVE-2026-31017Krytyczne
W ERPNext v16.0.1 i Frappe Framework v16.1.1 wykryto podatność SSRF w funkcji generowania PDF z formatów wydruku. Niewystarczająca sanityzacja HTML dostarczanego przez użytkownika pozwala na osadzenie elementów takich jak <iframe>, które są pobierane przez serwer. Atakujący może wykorzystać to do wykonywania żądań HTTP do wewnętrznych usług, w tym do punktów końcowych metadanych chmury, co grozi wyciekiem poufnych informacji.
- CVE-2025-65267Krytyczne
W ERPNext v15.83.2 i Frappe Framework v15.86.0 nieprawidłowa walidacja przesłanych obrazów SVG awatarów pozwala atakującym na osadzenie złośliwego JavaScriptu. Payload wykonuje się, gdy administrator kliknie link do obrazu, co prowadzi do trwałego XSS. Może to umożliwić przejęcie konta, eskalację uprawnień lub pełną kompromitację instancji ERPNext.
Oryginalny opis (angielski, źródło NVD)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.109.0 and 16.20.0, the get_tax_template function in erpnext/accounts/doctype/tax_rule/tax_rule.py constructs an SQL WHERE clause from request-influenced posting_date and args values, allowing an authenticated low-privilege user to inject SQL and extract sensitive information. This issue is fixed in versions 15.109.0 and 16.20.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS