CVE-2025-66437 in ERPNext
Riassunto
di VulDB • 04/08/2026
È presente una vulnerabilità SSTI (Server-Side Template Injection) nel metodo `get_address_display` di Frappe ERPNext fino alla versione 15.89.0. Questa funzione elabora i modelli di indirizzo utilizzando `frappe.render_template()` con un contesto derivato dal parametro `address_dict`, che può essere sia un dizionario che una stringa che fa riferimento a un documento Address. Sebbene ERPNext utilizzi un custom Jinja2 SandboxedEnvironment, funzioni pericolose come `frappe.db.sql` rimangono accessibili tramite `get_safe_globals()`. Un attaccante autenticato con il permesso di creare o modificare un modello di indirizzo può iniettare espressioni Jinja arbitrarie nel campo del template. Creando un documento Address con una corrispondenza per paese e chiamando l'API `get_address_display` con `address_dict="address_name"`, il sistema elaborerà il template dannoso utilizzando dati controllati dall'attaccante. Ciò porta all'esecuzione di codice lato server o alla divulgazione di informazioni del database.
If you want to get best quality of vulnerability data, you may have to visit VulDB.