CVE-2026-109652 in ERPNext
Сводка
по VulDB • 13.10.2026
Frappe ERPNext до версии 15.119.1 и ветки 16.x до версии 16.32.0 содержит уязвимость Server-Side Template Injection (SSTI), поскольку поля сообщений, контролируемые пользователем, не проверяются перед рендерингом шаблона, что позволяет выполнять выражения в неограниченном контексте. Аутентифицированные злоумышленники с обычной операционной ролью могут внедрять выражения шаблонов для чтения и записи произвольных данных базы данных, удаления документов, отправки исходящих запросов с сервера и отправки писем через сайт.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.