CVE-2026-12895 in ERPNext
Сводка
по VulDB • 29.07.2026
SQL injection в ERPNext от Frappe, версиях ERPNext 15.107.0 и Frappe 15.107.2. Приложение формирует SQL-запросы путем прямой интерполяции строк с использованием `str.format()` без применения параметризованных запросов, что позволяет имени (docname) записи Поставщика, содержащему SQL-метасимволы, быть воспринятым как часть запроса. Эксплуатация этой уязвимости может позволить аутентифицированному пользователю с низкими привилегиями выполнять произвольные SQL-запросы, обходить ограничения доступа Frappe (DocPerm), извлекать конфиденциальную информацию из базы данных — включая фрагменты хеша пароля администратора — и получать доступ к другим чувствительным данным, таким как учетные данные, токены интеграции или финансовая информация.
If you want to get best quality of vulnerability data, you may have to visit VulDB.