CVE-2026-109652 in ERPNext
要約
〜によって VulDB • 2026年10月13日
Frappe ERPNext 15.119.1 より前のバージョンおよび 16.x の 16.32.0 より前のバージョンには、サーバーサイドテンプレートインジェクションの脆弱性が存在します。これは、ユーザーが制御可能なメッセージフィールドがテンプレートのレンダリング前に検証されないためであり、制限のないコンテキストで式を実行することを可能にします。一般的な運用権限を持つ認証済み攻撃者は、テンプレート式を注入して任意のデータベースデータの読み書きやドキュメントの削除、サーバーからの外部リクエスト送信、サイトからのメール送信を行うことができます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.