CVE-2026-42840
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Uwierzytelniony użytkownik może utrwalić dowolny kod HTML/JavaScript w polach email_id lub mobile_no rekordu klienta i wywołać nieskapowane renderowanie w interfejsie Point of Sale (POS) dla każdego operatora, który wybierze tego klienta. Problem dotyczy ERPNext w wersji 16.16.0.
Ocena ryzyka
Atak XSS może pozwolić na wykonanie złośliwego skryptu w kontekście sesji operatora POS, co może prowadzić do kradzieży danych lub przejęcia konta.
Rekomendacja
Zaktualizuj ERPNext do wersji, w której naprawiono tę podatność, lub zastosuj odpowiednie kodowanie danych wyjściowych.
Inne podatności w ERPNext
Zobacz wszystkie- CVE-2026-44447Wysokie
ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 16.9.0 niektóre punkty końcowe były podatne na atak typu SQL injection, co mogło umożliwić złośliwemu użytkownikowi wyciągnięcie wrażliwych informacji.
- CVE-2026-44446Wysokie
ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 15.104.3 i 16.14.0 niektóre punkty końcowe były podatne na atak typu SQL injection, co mogło umożliwić złośliwemu użytkownikowi wyciągnięcie wrażliwych informacji.
- CVE-2018-3885Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania HTTP mogą prowadzić do kompromitacji danych poprzez wykorzystanie parametru order_by.
- CVE-2018-3884Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania webowe mogą prowadzić do kompromitacji danych.
- CVE-2018-3883Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na wstrzykiwanie SQL w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania sieciowe mogą prowadzić do kompromitacji danych poprzez atak SQL injection.
- CVE-2018-3882Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Złośliwie skonstruowane żądania webowe mogą prowadzić do kompromitacji danych poprzez wykorzystanie parametru searchfield.
- CVE-2026-65974Krytyczne
ERPNext to darmowe narzędzie do planowania zasobów przedsiębiorstwa o otwartym kodzie źródłowym. Przed wersjami 15.111.0 i 16.22.0, ograniczeni uwierzytelnieni użytkownicy mogą przekroczyć granicę uprawnień w bezpiecznym wykonywaniu Frappe, ponieważ frappe.render_template jest udostępniane bez wymuszania restrict_globals, co pozwala na wstrzyknięcie szablonów po stronie serwera i zdalne wykonanie kodu. Problem został naprawiony w wersjach 15.111.0 i 16.22.0.
- CVE-2026-72911Krytyczne
ERPNext przed wersjami 15.118.0 i 16.29.0 zawiera podatność polegającą na niebezpiecznym renderowaniu szablonów w procesie generowania wyciągów z kont. Uwierzytelniony użytkownik z typową rolą operacyjną może wstrzyknąć wyrażenia szablonu, wykonać dowolny kod po stronie serwera i odczytać dane w całej aplikacji.
- CVE-2026-44442Krytyczne
ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 16.9.1, niektóre punkty końcowe nie egzekwowały odpowiednich kontroli autoryzacji, co pozwalało użytkownikom na modyfikację danych wykraczających poza ich uprawnienia.
- CVE-2026-38431Krytyczne
ERPNext w wersji 15.103.1 i starszych jest podatny na wstrzykiwanie szablonów po stronie serwera (SSTI). Osoba z uprawnieniami do tworzenia lub edycji szablonów e-mail może wstrzyknąć wyrażenia szablonu, które są wykonywane na serwerze podczas renderowania.
Oryginalny opis (angielski, źródło NVD)
An authenticated user can persist arbitrary HTML/JavaScript in the email_id or mobile_no fields of a Customer record and trigger unescaped rendering in the Point of Sale (POS) interface for every operator who selects that customer. This issue affects ERPNext: 16.16.0.