CVE-2026-72909
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
ERPNext to darmowe narzędzie do planowania zasobów przedsiębiorstwa. Przed wersjami 15.112.0 i 16.23.0 ścieżka prepare_conditions w raporcie ReceivablePayableReport w pliku erpnext/accounts/report/accounts_receivable/accounts_receivable.py nie stosuje uprawnień użytkownika Customer i Supplier do dynamicznego pola party w Payment Ledger Entry, co pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt nieautoryzowanych danych finansowych między firmami w raportach Accounts Receivable i Accounts Payable. Problem naprawiono w wersjach 15.112.0 i 16.23.0.
Ocena ryzyka
Ryzyko ujawnienia poufnych danych finansowych między firmami, co może prowadzić do naruszenia poufności i zgodności.
Rekomendacja
Zaktualizuj ERPNext do wersji 15.112.0 lub 16.23.0 (lub nowszej), aby naprawić problem z uprawnieniami dostępu do danych.
Inne podatności w ERPNext
Zobacz wszystkie- CVE-2018-3885Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania HTTP mogą prowadzić do kompromitacji danych poprzez wykorzystanie parametru order_by.
- CVE-2018-3884Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania webowe mogą prowadzić do kompromitacji danych.
- CVE-2018-3883Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na wstrzykiwanie SQL w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania sieciowe mogą prowadzić do kompromitacji danych poprzez atak SQL injection.
- CVE-2018-3882Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Złośliwie skonstruowane żądania webowe mogą prowadzić do kompromitacji danych poprzez wykorzystanie parametru searchfield.
- CVE-2026-65974Krytyczne
ERPNext to darmowe narzędzie do planowania zasobów przedsiębiorstwa o otwartym kodzie źródłowym. Przed wersjami 15.111.0 i 16.22.0, ograniczeni uwierzytelnieni użytkownicy mogą przekroczyć granicę uprawnień w bezpiecznym wykonywaniu Frappe, ponieważ frappe.render_template jest udostępniane bez wymuszania restrict_globals, co pozwala na wstrzyknięcie szablonów po stronie serwera i zdalne wykonanie kodu. Problem został naprawiony w wersjach 15.111.0 i 16.22.0.
- CVE-2026-72911Krytyczne
ERPNext przed wersjami 15.118.0 i 16.29.0 zawiera podatność polegającą na niebezpiecznym renderowaniu szablonów w procesie generowania wyciągów z kont. Uwierzytelniony użytkownik z typową rolą operacyjną może wstrzyknąć wyrażenia szablonu, wykonać dowolny kod po stronie serwera i odczytać dane w całej aplikacji.
- CVE-2026-44442Krytyczne
ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 16.9.1, niektóre punkty końcowe nie egzekwowały odpowiednich kontroli autoryzacji, co pozwalało użytkownikom na modyfikację danych wykraczających poza ich uprawnienia.
- CVE-2026-38431Krytyczne
ERPNext w wersji 15.103.1 i starszych jest podatny na wstrzykiwanie szablonów po stronie serwera (SSTI). Osoba z uprawnieniami do tworzenia lub edycji szablonów e-mail może wstrzyknąć wyrażenia szablonu, które są wykonywane na serwerze podczas renderowania.
- CVE-2026-31017Krytyczne
W ERPNext v16.0.1 i Frappe Framework v16.1.1 wykryto podatność SSRF w funkcji generowania PDF z formatów wydruku. Niewystarczająca sanityzacja HTML dostarczanego przez użytkownika pozwala na osadzenie elementów takich jak <iframe>, które są pobierane przez serwer. Atakujący może wykorzystać to do wykonywania żądań HTTP do wewnętrznych usług, w tym do punktów końcowych metadanych chmury, co grozi wyciekiem poufnych informacji.
- CVE-2025-65267Krytyczne
W ERPNext v15.83.2 i Frappe Framework v15.86.0 nieprawidłowa walidacja przesłanych obrazów SVG awatarów pozwala atakującym na osadzenie złośliwego JavaScriptu. Payload wykonuje się, gdy administrator kliknie link do obrazu, co prowadzi do trwałego XSS. Może to umożliwić przejęcie konta, eskalację uprawnień lub pełną kompromitację instancji ERPNext.
Oryginalny opis (angielski, źródło NVD)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.112.0 and 16.23.0, the ReceivablePayableReport prepare_conditions path in erpnext/accounts/report/accounts_receivable/accounts_receivable.py does not apply Customer and Supplier user permissions to the Payment Ledger Entry dynamic-link party field, allowing any authenticated user to read unauthorized cross-company financial data in Accounts Receivable and Accounts Payable reports. This issue is fixed in versions 15.112.0 and 16.23.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS