CVE-2026-12895 in ERPNext
Tóm tắt
Bởi VulDB • 29/07/2026
Lỗ hổng tiêm nhiễm SQL trong ERPNext của Frappe, các phiên bản ERPNext 15.107.0 và Frappe 15.107.2. Ứng dụng xây dựng các truy vấn SQL thông qua nội suy chuỗi trực tiếp bằng cách sử dụng `str.format()` mà không áp dụng các truy vấn có tham số hóa (parameterized queries), cho phép tên của bản ghi Nhà cung cấp (docname) chứa các ký tự đặc biệt trong SQL được diễn giải như một phần của truy vấn. Việc khai thác lỗ hổng này có thể cho phép người dùng đã xác thực với quyền hạn thấp thực thi các truy vấn SQL tùy ý, vượt qua các giới hạn truy cập của Frappe (DocPerm), trích xuất thông tin nhạy cảm từ cơ sở dữ liệu—bao gồm cả các đoạn mã băm mật khẩu của quản trị viên—and tiếp cận các dữ liệu nhạy cảm khác như thông tin đăng nhập, token tích hợp hoặc thông tin tài chính.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.