CVE-2026-109377
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
ERPNext od wersji 9.0.0 do 16.50.0 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom przeglądać stany magazynowe poprzez metody batch na białej liście. Atakujący, w tym użytkownicy portalu klienta, mogą wywołać get_batch_qty, get_batches_by_oldest lub get_pos_reserved_batch_qty, aby wylistować każdą partię przedmiotów z ilościami na magazyn.
Ocena ryzyka
Organizacja może doświadczyć wycieku informacji o stanach magazynowych i partiach produktów, co może być wykorzystane przez konkurencję lub do planowania kradzieży. Ujawnienie tych danych może naruszyć poufność operacyjną i biznesową.
Rekomendacja
Zaktualizuj ERPNext do wersji nowszej niż 16.50.0, jeśli jest dostępna, lub ogranicz dostęp do metod get_batch_qty, get_batches_by_oldest i get_pos_reserved_batch_qty tylko do uprawnionych ról. Monitoruj nietypowe wywołania tych metod przez użytkowników portalu.
Inne podatności w ERPNext
Zobacz wszystkie- CVE-2026-44447Wysokie
ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 16.9.0 niektóre punkty końcowe były podatne na atak typu SQL injection, co mogło umożliwić złośliwemu użytkownikowi wyciągnięcie wrażliwych informacji.
- CVE-2026-44446Wysokie
ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 15.104.3 i 16.14.0 niektóre punkty końcowe były podatne na atak typu SQL injection, co mogło umożliwić złośliwemu użytkownikowi wyciągnięcie wrażliwych informacji.
- CVE-2018-3885Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania HTTP mogą prowadzić do kompromitacji danych poprzez wykorzystanie parametru order_by.
- CVE-2018-3884Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania webowe mogą prowadzić do kompromitacji danych.
- CVE-2018-3883Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na wstrzykiwanie SQL w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania sieciowe mogą prowadzić do kompromitacji danych poprzez atak SQL injection.
- CVE-2018-3882Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Złośliwie skonstruowane żądania webowe mogą prowadzić do kompromitacji danych poprzez wykorzystanie parametru searchfield.
- CVE-2026-65974Krytyczne
ERPNext to darmowe narzędzie do planowania zasobów przedsiębiorstwa o otwartym kodzie źródłowym. Przed wersjami 15.111.0 i 16.22.0, ograniczeni uwierzytelnieni użytkownicy mogą przekroczyć granicę uprawnień w bezpiecznym wykonywaniu Frappe, ponieważ frappe.render_template jest udostępniane bez wymuszania restrict_globals, co pozwala na wstrzyknięcie szablonów po stronie serwera i zdalne wykonanie kodu. Problem został naprawiony w wersjach 15.111.0 i 16.22.0.
- CVE-2026-72911Krytyczne
ERPNext przed wersjami 15.118.0 i 16.29.0 zawiera podatność polegającą na niebezpiecznym renderowaniu szablonów w procesie generowania wyciągów z kont. Uwierzytelniony użytkownik z typową rolą operacyjną może wstrzyknąć wyrażenia szablonu, wykonać dowolny kod po stronie serwera i odczytać dane w całej aplikacji.
- CVE-2026-44442Krytyczne
ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 16.9.1, niektóre punkty końcowe nie egzekwowały odpowiednich kontroli autoryzacji, co pozwalało użytkownikom na modyfikację danych wykraczających poza ich uprawnienia.
- CVE-2026-38431Krytyczne
ERPNext w wersji 15.103.1 i starszych jest podatny na wstrzykiwanie szablonów po stronie serwera (SSTI). Osoba z uprawnieniami do tworzenia lub edycji szablonów e-mail może wstrzyknąć wyrażenia szablonu, które są wykonywane na serwerze podczas renderowania.
Oryginalny opis (angielski, źródło NVD)
ERPNext 9.0.0 through 16.50.0 contains a missing authorization vulnerability that allows authenticated users to view stock quantities via whitelisted batch methods. Attackers, including customer portal users, can call get_batch_qty, get_batches_by_oldest or get_pos_reserved_batch_qty to list every item batch with per-warehouse quantities.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS