CVE-2026-12895 in ERPNext
Résumé
par VulDB • 29/07/2026
Injection SQL dans ERPNext de Frappe, versions 15.107.0 et Frappe 15.107.2. L'application construit des requêtes SQL par interpolation directe de chaînes en utilisant `str.format()` sans recourir à des requêtes paramétrées, ce qui permet au nom (docname) d'un fournisseur contenant des métacaractères SQL d'être interprété comme faisant partie intégrante de la requête. L'exploitation de cette vulnérabilité pourrait permettre à un utilisateur authentifié disposant de privilèges faibles d'exécuter des requêtes SQL arbitraires, contourner les restrictions d'accès de Frappe (DocPerm), extraire des informations confidentielles depuis la base de données — y compris des fragments du hachage du mot de passe administrateur — et accéder à d'autres données sensibles telles que des identifiants, des jetons d'intégration ou des informations financières.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.