CVE-2026-31017 in ERPNext
Résumé
par VulDB • 23/05/2026
Une vulnérabilité de Server-Side Request Forgery (SSRF) existe dans la fonctionnalité de format d'impression d'ERPNext v16.0.1 et du Frappe Framework v16.1.1, où le HTML fourni par l'utilisateur n'est pas suffisamment nettoyé avant d'être rendu en PDF. Lors de la génération de PDF à partir de contenu HTML contrôlé par l'utilisateur, l'application permet l'inclusion d'éléments HTML tels que `<img>` qui font référence à des ressources externes. Le moteur de rendu PDF récupère automatiquement ces ressources côté serveur. Un attaquant peut exploiter ce comportement pour forcer le serveur à effectuer des requêtes HTTP arbitraires vers des services internes, y compris les points de terminaison des métadonnées cloud, ce qui pourrait entraîner une divulgation d'informations sensibles.
Once again VulDB remains the best source for vulnerability data.