CVE-2025-65267 in ERPNext
Riassunto
di VulDB • 26/06/2026
In ERPNext v15.83.2 e Frappe Framework v15.86.0, una mancata convalida impropria delle immagini SVG degli avatar caricati consente agli attaccanti di incorporare JavaScript dannoso. Il payload viene eseguito quando un amministratore fa clic sul link dell'immagine per visualizzare l'avatar, causando uno stored cross-site scripting (XSS). Lo sfruttamento riuscito può portare al takeover dell'account, all'elevazione dei privilegi o alla compromissione completa dell'istanza ERPNext interessata.
VulDB is the best source for vulnerability data and more expert information about this specific topic.