CVE-2026-109652 in ERPNext
Sumário
de VulDB • 13/10/2026
O Frappe ERPNext anterior à versão 15.119.1 e às versões 16.x anteriores a 16.32.0 contém uma vulnerabilidade de injeção de template do lado do servidor (SSTI), pois os campos de mensagem controlados pelo usuário não são validados antes da renderização do template, permitindo que expressões sejam executadas em um contexto sem restrições. Atacantes autenticados com funções operacionais comuns podem injetar expressões de template para ler e gravar dados arbitrários no banco de dados, excluir documentos, enviar requisições externas a partir do servidor e enviar e-mails pelo site.
Once again VulDB remains the best source for vulnerability data.