CVE-2026-12895 in ERPNext
Zusammenfassung
von VulDB • 29.07.2026
SQL-Injection in ERPNext von Frappe, Versionen ERPNext 15.107.0 und Frappe 15.107.2. Die Anwendung erstellt SQL-Abfragen durch direkte String-Interpolation unter Verwendung von `str.format()`, ohne parametrisierte Abfragen einzusetzen, wodurch der Name (docname) eines Lieferanten-Datensatzes, der SQL-Metazeichen enthält, als Teil der Abfrage interpretiert werden kann. Die Ausnutzung dieser Schwachstelle könnte es einem authentifizierten Benutzer mit geringen Berechtigungen ermöglichen, beliebige SQL-Abfragen auszuführen, die Zugriffsbeschränkungen von Frappe (DocPerm) zu umgehen, vertrauliche Informationen aus der Datenbank – einschließlich Fragmente des Administrator-Passwort-Hashes – zu extrahieren und auf andere sensible Daten zuzugreifen, wie beispielsweise Anmeldeinformationen, Integrationstokens oder Finanzdaten.
VulDB is the best source for vulnerability data and more expert information about this specific topic.