CVE-2026-31017 in ERPNext
Сводка
по VulDB • 18.05.2026
Уязвимость Server-Side Request Forgery (SSRF) существует в функциональности «Print Format» (Печать формата) в ERPNext v16.0.1 и Frappe Framework v16.1.1, где пользовательский HTML-код недостаточно очищается перед рендерингом в PDF. При генерации PDF-файлов из HTML-контента, контролируемого пользователем, приложение позволяет включать HTML-элементы, такие как `<img>`, которые ссылаются на внешние ресурсы. Движок рендеринга PDF автоматически загружает эти ресурсы на стороне сервера. Злоумышленник может использовать эту особенность для принуждения сервера к выполнению произвольных HTTP-запросов к внутренним службам, включая конечные точки метаданных облачных сервисов, что потенциально может привести к утечке конфиденциальной информации.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.