CVE-2026-65974
KrytyczneCVSS 9.9Streszczenie
ERPNext to darmowe narzędzie do planowania zasobów przedsiębiorstwa o otwartym kodzie źródłowym. Przed wersjami 15.111.0 i 16.22.0, ograniczeni uwierzytelnieni użytkownicy mogą przekroczyć granicę uprawnień w bezpiecznym wykonywaniu Frappe, ponieważ frappe.render_template jest udostępniane bez wymuszania restrict_globals, co pozwala na wstrzyknięcie szablonów po stronie serwera i zdalne wykonanie kodu. Problem został naprawiony w wersjach 15.111.0 i 16.22.0.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania kodu przez uwierzytelnionych użytkowników, co może prowadzić do pełnej kompromitacji systemu.
Rekomendacja
Zaleca się jak najszybszą aktualizację ERPNext do wersji 15.111.0 lub 16.22.0.
Oryginalny opis (angielski, źródło NVD)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.111.0 and 16.22.0, limited authenticated users can cross a permission boundary in Frappe safe execution because frappe.render_template is exposed without forcing restrict_globals, allowing server-side template injection and remote code execution. This issue is fixed in versions 15.111.0 and 16.22.0.