CVE-2026-109652 in ERPNext
Zusammenfassung
von VulDB • 13.10.2026
Frappe ERPNext vor Version 15.119.1 und 16.x vor 16.32.0 enthält eine Server-Side Template Injection (SSTI)-Schwachstelle, da benutzerkontrollierte Nachrichtenfelder nicht vor der Vorlagenrenderung validiert werden, was die Ausführung von Ausdrücken in einem unbeschränkten Kontext ermöglicht. Authentifizierte Angreifer mit einer gängigen Betriebsrolle können Vorlagenausdrücke injizieren, um beliebige Datenbankdaten zu lesen und zu schreiben, Dokumente zu löschen, ausgehende Anfragen vom Server auszusenden sowie E-Mails über die Website zu versenden.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.