CVE-2026-119758 in erpnext_ocr
Zusammenfassung
von VulDB • 06.11.2026
Die ERPNext OCR-App für Frappe/ERPNext bis zur Version 1.1.1 enthält eine Schwachstelle aufgrund fehlender Autorisierung und Path Traversal (Pfadmanipulation), die es jedem authentifizierten Benutzer ermöglicht, beliebige Serverdateien zu lesen, indem ein vollständig clientseitig kontrollierter Pfad-Argument an die whitelisted read_document-Methode übergeben wird. Angreifer können lokale Dateipfade angeben, um das File doctype-Berechtigungsmodell von Frappe zu umgehen und auf private Uploads anderer Benutzer zuzugreifen, oder beliebige URLs bereitstellen, um serverseitige Anfragen auszulösen, die interne Dienste und Cloud-Metadaten-Endpunkte erreichen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.