CVE-2025-66437 in ERPNext
요약
\~에 의해 VulDB • 2026. 08. 08.
Frappe ERPNext 15.89.0 이전 버전의 get_address_display 메서드에 SSTI(Server-Side Template Injection) 취약점이 존재합니다. 이 함수는 address_dict 매개변수에서 파생된 컨텍스트를 사용하여 frappe.render_template()로 주소 템플릿을 렌더링하며, 해당 인수는 사전(dictionary)이거나 Address 문서를 참조하는 문자열이 될 수 있습니다. ERPNext가 사용자 정의 Jinja2 SandboxedEnvironment를 사용하더라도 get_safe_globals()를 통해 frappe.db.sql과 같은 위험한 함수에 접근할 수 있습니다. 주소 템플릿을 생성하거나 수정할 권한이 있는 인증된 공격자는 템플릿 필드에 임의의 Jinja 표현식을 주입할 수 있습니다. 일치하는 국가가 포함된 Address 문서를 생성한 후 address_dict="address_name"로 get_address_display API를 호출하면 시스템은 공격자가 제어하는 데이터를 사용하여 악성 템플릿을 렌더링합니다. 이로 인해 서버 측 코드 실행 또는 데이터베이스 정보 유출이 발생할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.