CVE-2025-65267

Krytyczne

Opublikowano: 03/12/2025(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

W ERPNext v15.83.2 i Frappe Framework v15.86.0 nieprawidłowa walidacja przesłanych obrazów SVG awatarów pozwala atakującym na osadzenie złośliwego JavaScriptu. Payload wykonuje się, gdy administrator kliknie link do obrazu, co prowadzi do trwałego XSS. Może to umożliwić przejęcie konta, eskalację uprawnień lub pełną kompromitację instancji ERPNext.

Ocena ryzyka

Atakujący może przejąć konto administratora lub uzyskać pełną kontrolę nad systemem ERPNext, co może prowadzić do naruszenia poufności i integralności danych biznesowych.

Rekomendacja

Zaktualizuj ERPNext i Frappe Framework do najnowszych wersji. Wdróż walidację typów plików i ogranicz możliwość przesyłania SVG.

Oryginalny opis (angielski, źródło NVD)

In ERPNext v15.83.2 and Frappe Framework v15.86.0, improper validation of uploaded SVG avatar images allows attackers to embed malicious JavaScript. The payload executes when an administrator clicks the image link to view the avatar, resulting in stored cross-site scripting (XSS). Successful exploitation may lead to account takeover, privilege escalation, or full compromise of the affected ERPNext instance.