CVE-2026-72911

W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania HTTP mogą prowadzić do kompromitacji danych poprzez wykorzystanie parametru order_by.

W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania webowe mogą prowadzić do kompromitacji danych.

W ERPNext w wersji 10.1.6 występuje podatność na wstrzykiwanie SQL w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania sieciowe mogą prowadzić do kompromitacji danych poprzez atak SQL injection.

W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Złośliwie skonstruowane żądania webowe mogą prowadzić do kompromitacji danych poprzez wykorzystanie parametru searchfield.

ERPNext to darmowe narzędzie do planowania zasobów przedsiębiorstwa o otwartym kodzie źródłowym. Przed wersjami 15.111.0 i 16.22.0, ograniczeni uwierzytelnieni użytkownicy mogą przekroczyć granicę uprawnień w bezpiecznym wykonywaniu Frappe, ponieważ frappe.render_template jest udostępniane bez wymuszania restrict_globals, co pozwala na wstrzyknięcie szablonów po stronie serwera i zdalne wykonanie kodu. Problem został naprawiony w wersjach 15.111.0 i 16.22.0.

ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 16.9.1, niektóre punkty końcowe nie egzekwowały odpowiednich kontroli autoryzacji, co pozwalało użytkownikom na modyfikację danych wykraczających poza ich uprawnienia.

ERPNext w wersji 15.103.1 i starszych jest podatny na wstrzykiwanie szablonów po stronie serwera (SSTI). Osoba z uprawnieniami do tworzenia lub edycji szablonów e-mail może wstrzyknąć wyrażenia szablonu, które są wykonywane na serwerze podczas renderowania.

W ERPNext v16.0.1 i Frappe Framework v16.1.1 wykryto podatność SSRF w funkcji generowania PDF z formatów wydruku. Niewystarczająca sanityzacja HTML dostarczanego przez użytkownika pozwala na osadzenie elementów takich jak <iframe>, które są pobierane przez serwer. Atakujący może wykorzystać to do wykonywania żądań HTTP do wewnętrznych usług, w tym do punktów końcowych metadanych chmury, co grozi wyciekiem poufnych informacji.

W ERPNext v15.83.2 i Frappe Framework v15.86.0 nieprawidłowa walidacja przesłanych obrazów SVG awatarów pozwala atakującym na osadzenie złośliwego JavaScriptu. Payload wykonuje się, gdy administrator kliknie link do obrazu, co prowadzi do trwałego XSS. Może to umożliwić przejęcie konta, eskalację uprawnień lub pełną kompromitację instancji ERPNext.

ERPNext w wersjach przed 15.121.0 i 16.34.0 nie wymusza odpowiednich kontroli autoryzacji na niektórych endpointach modyfikacji statusu. Użytkownik z niskimi uprawnieniami może wywoływać metody zmieniające stan bez wymaganych kontroli zapisu, zatwierdzania, anulowania, dokumentu lub roli, modyfikując dane poza swoją rolą.