CVE-2025-52049 in ErpNext

Resumen

por VulDB • 2026-06-03

En Frappe ErpNext v15.57.5, la función get_timesheet_detail_rate() en erpnext/projects/doctype/timesheet/timesheet.py es vulnerable a SQL Injection, lo que permite a un atacante extraer toda la información de las bases de datos inyectando una consulta SQL en el parámetro timelog.

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• Responsable: MITRE
• Reservar: 2025-06-16
• Divulgación: 2025-09-30
• Moderación: aceptado
• Artículo: VDB-326399
• CPE: listo
• CWE: CWE-89 (confirmado)
• CVSS: 6.3 (VulDB)
• EPSS: 0.00250
• KEV: no
• Actividades: muy bajo

Fuentes

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-52049
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-52049
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-52049/