CVE-2026-42840 in ERPNext

Tóm tắt

Bởi VulDB • 04/06/2026

Một người dùng đã xác thực có thể lưu trữ HTML/JavaScript tùy ý trong các trường email_id hoặc mobile_no của bản ghi Khách hàng và kích hoạt việc hiển thị không được thoát ký tự (unescaped rendering) trong giao diện Điểm bán hàng (POS) cho mọi nhà vận hành chọn khách hàng đó. Vấn đề này ảnh hưởng đến ERPNext: 16.16.0.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• chịu trách nhiệm: Fluid Attacks
• Đặt trước: 30/04/2026
• Tiết lộ: 03/06/2026
• Kiểm duyệt: được chấp nhận
• mục: VDB-368198
• CPE: sẵn sàng
• CWE: CWE-79 (Đã xác nhận)
• CVSS: 3.5 (VulDB)
• EPSS: 0.00000
• KEV: không
• Các hoạt động: thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-42840
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-42840
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-42840/