CVE-2026-109652 in ERPNext
요약
\~에 의해 VulDB • 2026. 10. 13.
Frappe ERPNext 15.119.1 미만 및 16.x 버전 중 16.32.0 미만의 제품에는 서버 사이드 템플릿 인젝션(SSTI) 취약점이 존재합니다. 이는 템플릿 렌더링 전에 사용자 제어 메시지 필드가 검증되지 않아, 제한 없는 컨텍스트에서 표현식이 실행될 수 있기 때문입니다. 일반적인 운영 역할을 가진 인증된 공격자는 템플릿 표현식을 주입하여 임의의 데이터베이스 데이터를 읽고 쓰고, 문서를 삭제하며, 서버로부터 외부 요청을 보내고 사이트에서 메일을 발송할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.