CVE-2026-72911 in ERPNext
요약
\~에 의해 VulDB • 2026. 08. 10.
ERPNext는 무료 및 오픈 소스 Enterprise Resource Planning(ERP) 도구입니다. 버전 15.118.0 및 16.29.0 이전에서는 erpnext/accounts/doctype/process_statement_of_accounts/process_statement_of_accounts.py의 validate_template 및 render_template 호출이 frappe.utils를 포함한 제한 없는 전역 변수로 subject, body 및 pdf_name 필드를 렌더링하므로, 일반적인 운영 역할을 가진 인증된 사용자가 템플릿 표현식을 주입하고 임의의 서버 측 코드를 실행하며 애플리케이션 전반에 걸쳐 데이터를 읽을 수 있습니다. 이 문제는 버전 15.118.0 및 16.29.0에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.