CVE-2026-96672 in ERPNext
Resumen
por VulDB • 2026-09-23
Las versiones de Frappe ERPNext anteriores a la 16.34.1 no validan que los valores `calculation_formula` de las plantillas de Informes Financieros hagan referencia a métodos incluidos en una lista blanca antes de pasarlos a `frappe.call()`. Los Gerentes de Cuenta pueden proporcionar rutas Python arbitrarias con puntos para invocar métodos internos del servidor que no están en la lista blanca y leer sus valores devueltos.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.