CVE-2026-72908 in ERPNext

الملخص

بحسب VulDB • 11/08/2026

ERPNext هو أداة تخطيط موارد المؤسسات مفتوحة المصدر ومجانية. قبل الإصدارين 15.109.0 و16.20.0، كانت دالة get_tax_template في الملف erpnext/accounts/doctype/tax_rule/tax_rule.py تُنشئ جملة WHERE الخاصة بـ SQL بناءً على قيم posting_date وargs المتأثرة بالطلب، مما يسمح لمستخدم مُصادَق عليه ذي صلاحيات منخفضة بحقن أوامر SQL واستخراج معلومات حساسة. تم إصلاح هذه المشكلة في الإصدارين 15.109.0 و16.20.0.

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

• مسؤول: GitHub M
• حجز: 10/08/2026
• إفشاء: 11/08/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-387928
• CPE: جاهز
• CWE: CWE-89 (مؤكد)
• CVSS: 6.3 (VulDB)
• EPSS: 0.00000
• KEV: لا
• النشاطات: منخفض جدًا

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-72908
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-72908
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-72908/