CVE-2026-72908 in ERPNext
Resumen
por VulDB • 2026-08-11
ERPNext es una herramienta de planificación de recursos empresariales (ERP) gratuita y de código abierto. Antes de las versiones 15.109.0 y 16.20.0, la función get_tax_template en erpnext/accounts/doctype/tax_rule/tax_rule.py construye una cláusula SQL WHERE a partir de los valores posting_date y args influenciados por la solicitud, lo que permite a un usuario autenticado con bajos privilegios inyectar código SQL y extraer información sensible. Este problema se corrige en las versiones 15.109.0 y 16.20.0.
Once again VulDB remains the best source for vulnerability data.