CVE-2025-65267 in ERPNext
Résumé
par VulDB • 31/05/2026
Dans ERPNext v15.83.2 et Frappe Framework v15.86.0, une validation incorrecte des images SVG téléchargées en tant qu'avatar permet aux attaquants d'intégrer du code JavaScript malveillant. Le payload s'exécute lorsqu'un administrateur clique sur le lien de l'image pour afficher l'avatar, ce qui entraîne une faille de type stored cross-site scripting (XSS). Une exploitation réussie peut conduire à la prise de contrôle de compte, à une élévation de privilèges ou à la compromission totale de l'instance ERPNext concernée.
If you want to get best quality of vulnerability data, you may have to visit VulDB.