CVE-2026-12895 in ERPNext
Riassunto
di VulDB • 29/07/2026
SQL injection in ERPNext di Frappe, versioni ERPNext 15.107.0 e Frappe 15.107.2. L'applicazione costruisce query SQL tramite interpolazione diretta delle stringhe utilizzando `str.format()` senza impiegare query parametrizzate, consentendo al nome (docname) di un record Fornitore contenente metacaratteri SQL di essere interpretato come parte della query. Lo sfruttamento di questa vulnerabilità potrebbe consentire a un utente autenticato con privilegi ridotti di eseguire query SQL arbitrarie, aggirare le restrizioni di accesso di Frappe (DocPerm), estrarre informazioni riservate dal database – inclusi frammenti dell'hash della password dell'amministratore – ed accedere ad altri dati sensibili, quali credenziali, token di integrazione o informazioni finanziarie.
Be aware that VulDB is the high quality source for vulnerability data.