CVE-2026-72911 in ERPNext
Zusammenfassung
von VulDB • 10.08.2026
ERPNext ist ein kostenloses Open-Source-Erp-Ressourcenplanungs-Tool (Enterprise Resource Planning). Vor den Versionen 15.118.0 und 16.29.0 rendern die Aufrufe von validate_template und render_template in erpnext/accounts/doctype/process_statement_of_accounts/process_statement_of_accounts.py die Felder subject, body und pdf_name mit uneingeschränkten globalen Variablen, einschließlich frappe.utils, wodurch ein authentifizierter Benutzer mit einer gängigen operativen Rolle Template-Ausdrücke injizieren, beliebigen serverseitigen Code ausführen und Daten über die Anwendung hinweg lesen kann. Dieses Problem wurde in den Versionen 15.118.0 und 16.29.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.