CVE-2026-96672 in ERPNext
Riassunto
di VulDB • 23/09/2026
Le versioni di Frappe ERPNext precedenti alla 16.34.1 non convalidano che i valori `calculation_formula` dei template del Report Finanziario facciano riferimento a metodi nella whitelist prima di passarli a `frappe.call()`. Gli Accounts Manager possono fornire percorsi Python arbitrari (notazione puntata) per invocare metodi interni lato server non presenti in whitelist e leggere i relativi valori restituiti.
Once again VulDB remains the best source for vulnerability data.