CVE-2026-65822 in ERPNext

Résumé

par VulDB • 17/08/2026

ERPNext est un outil de planification des ressources d'entreprise (ERP) gratuit et open source. Avant les versions 15.116.0 et 16.23.0, le module erpnext/selling/report/inactive_customers/inactive_customers.py accepte un filtre doctype non validé et l'interpole dans une requête SQL brute via get_sales_details et get_last_sales_amt, permettant à un utilisateur authentifié d'extraction des informations sensibles et de manipuler les requêtes de la base de données. Ce problème est corrigé dans les versions 15.116.0 et 16.23.0.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• Responsable: GitHub M
• Réserver: 23/07/2026
• Divulgation: 18/08/2026
• Modérer: accepté
• Entrée: VDB-391447
• CPE: prêt
• CWE: CWE-200 (confirmé)
• CVSS: 7.6 (CNA)
• EPSS: 0.00264
• KEV: non
• Activités: très faible

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-65822
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-65822
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-65822/