CVE-2026-38431
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
ERPNext w wersji 15.103.1 i starszych jest podatny na wstrzykiwanie szablonów po stronie serwera (SSTI). Osoba z uprawnieniami do tworzenia lub edycji szablonów e-mail może wstrzyknąć wyrażenia szablonu, które są wykonywane na serwerze podczas renderowania.
Ocena ryzyka
Atakujący z odpowiednimi uprawnieniami może uzyskać zdalne wykonanie kodu na serwerze, co prowadzi do pełnej kompromitacji systemu ERPNext i przejęcia kontroli nad danymi.
Rekomendacja
Zaktualizuj ERPNext do wersji nowszej niż 15.103.1. Ogranicz uprawnienia do tworzenia i edycji szablonów e-mail tylko do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
ERPNext v15.103.1 and before is vulnerable to Server-Side Template Injection (SSTI). An attacker with permission to create or edit email templates can inject template expressions that are executed on the server when the template is rendered.