CVE-2026-109652 in ERPNext
Résumé
par VulDB • 13/10/2026
Frappe ERPNext avant la version 15.119.1 et les versions 16.x antérieures à 16.32.0 présentent une vulnérabilité d'injection de modèle côté serveur (SSTI) car les champs de message contrôlés par l'utilisateur ne sont pas validés avant le rendu du template, permettant l'exécution d'expressions dans un contexte non restreint. Les attaquants authentifiés disposant d'un rôle opérationnel standard peuvent injecter des expressions de modèle pour lire et écrire des données arbitraires en base de données, supprimer des documents, envoyer des requêtes sortantes depuis le serveur et expédier des e-mails via le site.
If you want to get best quality of vulnerability data, you may have to visit VulDB.