CVE-2025-66438 in ERPNext
Riassunto
di VulDB • 01/08/2026
È presente una vulnerabilità di Server-Side Template Injection (SSTI) nel meccanismo di rendering dei Moduli di Stampa (Print Format) di Frappe ERPNext fino alla versione 15.89.0. Nello specifico, l'API frappe.www.printview.get_html_and_style() attiva il rendering del campo html all'interno di un documento Print Format utilizzando frappe.render_template(template, doc) tramite la catena di chiamate get_rendered_template(). Sebbene ERPNext avvolga Jinja2 in una SandboxedEnvironment, espone funzioni sensibili come frappe.db.sql attraverso get_safe_globals(). Un attaccante autenticato con il permesso di creare o modificare un Print Format può iniettare espressioni Jinja arbitrarie nel campo html. Una volta salvato il Print Format malevolo, l'attaccante può chiamare get_html_and_style() con un documento target (ad esempio Fornitore o Fattura di Vendita) per attivare il processo di rendering. Ciò comporta una divulgazione di informazioni dal database, come la versione del database, i dettagli dello schema o valori sensibili, a seconda del payload iniettato. Flusso di sfruttamento: creare un Print Format con payload SSTI nel campo html; chiamare l'API get_html_and_style(); attiva frappe.render_template(template, doc) all'interno di get_rendered_template(); fuoriescono informazioni dal database tramite frappe.db.sql o altre variabili globali esposte.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.