CVE-2025-66438

WysokieCVSS 8.8

Opublikowano: 15/12/2025(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.50%

Percentyl 41 - wyżej niż 41% wszystkich znanych CVE

Streszczenie

Podatność Server-Side Template Injection (SSTI) w mechanizmie renderowania formatów wydruku w Frappe ERPNext do wersji 15.89.0. Uwierzytelniony atakujący z uprawnieniami do tworzenia lub modyfikacji formatu wydruku może wstrzyknąć złośliwe wyrażenia Jinja do pola html, co po wywołaniu API get_html_and_style() prowadzi do ujawnienia informacji z bazy danych, takich jak wersja bazy, schemat czy wrażliwe dane.

Ocena ryzyka

Atakujący może uzyskać dostęp do poufnych danych przechowywanych w bazie danych ERPNext, co może prowadzić do naruszenia poufności i integralności danych organizacji.

Rekomendacja

Zaktualizuj ERPNext do najnowszej wersji, w której podatność została naprawiona. Ogranicz uprawnienia do tworzenia i modyfikacji formatów wydruku tylko do zaufanych użytkowników.

Inne podatności w Frappe ERPNext

Zobacz wszystkie

Oryginalny opis (angielski, źródło NVD)

A Server-Side Template Injection (SSTI) vulnerability exists in the Frappe ERPNext through 15.89.0 Print Format rendering mechanism. Specifically, the API frappe.www.printview.get_html_and_style() triggers the rendering of the html field inside a Print Format document using frappe.render_template(template, doc) via the get_rendered_template() call chain. Although ERPNext wraps Jinja2 in a SandboxedEnvironment, it exposes sensitive functions such as frappe.db.sql through get_safe_globals(). An authenticated attacker with permission to create or modify a Print Format can inject arbitrary Jinja expressions into the html field. Once the malicious Print Format is saved, the attacker can call get_html_and_style() with a target document (e.g., Supplier or Sales Invoice) to trigger the render process. This leads to information disclosure from the database, such as database version, schema details, or sensitive values, depending on the injected payload. Exploitation flow: Create a Print Format with SSTI payload in the html field; call the get_html_and_style() API; triggers frappe.render_template(template, doc) inside get_rendered_template(); leaks database information via frappe.db.sql or other exposed globals.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS