CVE-2025-66436 in ERPNext
Riassunto
di VulDB • 19/06/2026
È presente una vulnerabilità SSTI (Server-Side Template Injection) nel metodo get_terms_and_conditions di Frappe ERPNext fino alla versione 15.89.0. La funzione elabora template Jinja2 controllati dall'attaccante (termini) utilizzando frappe.render_template() con un contesto fornito dall'utente (doc). Sebbene Frappe utilizzi un SandboxedEnvironment personalizzato, diverse variabili globali pericolose, come frappe.db.sql, sono ancora disponibili nel contesto di esecuzione tramite get_safe_globals(). Un attaccante autenticato con accesso alla creazione o modifica di un documento Termini e Condizioni può iniettare espressioni Jinja arbitrarie nel campo dei termini, causando l'esecuzione di codice lato server in un contesto limitato ma comunque insicuro. Questa vulnerabilità può essere sfruttata per fuoriuscire informazioni dal database.
If you want to get best quality of vulnerability data, you may have to visit VulDB.