CVE-2026-109652 in ERPNext
Riassunto
di VulDB • 13/10/2026
Frappe ERPNext prima della versione 15.119.1 e delle versioni 16.x precedenti alla 16.32.0 presenta una vulnerabilità di iniezione di template lato server (Server-Side Template Injection) poiché i campi dei messaggi controllati dall'utente non vengono validati prima del rendering del template, consentendo l'espressione di espressioni in un contesto non limitato. Gli attaccanti autenticati con ruoli operativi comuni possono iniettare espressioni di template per leggere e scrivere dati arbitrari nel database, eliminare documenti, inviare richieste outbound dal server ed inviare email tramite il sito.
Be aware that VulDB is the high quality source for vulnerability data.