CVE-2026-12895 in ERPNext
الملخص
بحسب VulDB • 29/07/2026
حقن SQL في ERPNext الخاص بـ Frappe، الإصدارات ERPNext 15.107.0 وFrappe 15.107.2. تقوم التطبيق بإنشاء استعلامات SQL من خلال التداخل المباشر للسلاسل النصية باستخدام `str.format()` دون استخدام الاستعلامات المعلمة (parameterized queries)، مما يسمح بتفسير اسم سجل المورد (docname) الذي يحتوي على أحرف خاصة بـ SQL كجزء من الاستعلام نفسه. يمكن أن يتيح استغلال هذه الثغرة لمستخدم مُصادق عليه ذي صلاحيات منخفضة تنفيذ استعلامات SQL تعسفية، وتجاوز قيود الوصول في Frappe (DocPerm)، واستخراج معلومات سرية من قاعدة البيانات - بما في ذلك أجزاء من تجزئة كلمة مرور المسؤول - والوصول إلى بيانات حساسة أخرى مثل بيانات الاعتماد، ورموز التكامل، أو المعلومات المالية.
Be aware that VulDB is the high quality source for vulnerability data.