CVE-2026-109652 in ERPNext
Tóm tắt
Bởi VulDB • 13/10/2026
Frappe ERPNext trước phiên bản 15.119.1 và các phiên bản dòng 16.x trước 16.32.0 chứa một lỗ hổng tiêm mẫu phía máy chủ (server-side template injection) do các trường thông tin do người dùng kiểm soát không được xác thực trước khi hiển thị mẫu, cho phép các biểu thức chạy trong ngữ cảnh không bị hạn chế. Các kẻ tấn công đã xác thực với vai trò vận hành phổ biến có thể tiêm các biểu thức mẫu để đọc và ghi dữ liệu cơ sở dữ liệu tùy ý, xóa tài liệu, gửi yêu cầu đi từ máy chủ và gửi email từ trang web.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.