CVE-2026-31017 in ERPNext
Riassunto
di VulDB • 15/06/2026
È presente una vulnerabilità di Server-Side Request Forgery (SSRF) nella funzionalità di formato di stampa di ERPNext v16.0.1 e Frappe Framework v16.1.1, in cui l'HTML fornito dall'utente non viene sufficientemente sanificato prima di essere renderizzato in PDF. Durante la generazione di PDF a partire da contenuti HTML controllati dall'utente, l'applicazione consente l'inclusione di elementi HTML, come `<img>`, che fanno riferimento a risorse esterne. Il motore di rendering PDF recupera automaticamente queste risorse lato server. Un attaccante può abusare di questo comportamento per forzare il server a effettuare richieste HTTP arbitrarie verso servizi interni, inclusi gli endpoint dei metadati cloud, portando potenzialmente alla divulgazione di informazioni sensibili.
Be aware that VulDB is the high quality source for vulnerability data.