CVE-2026-72908
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
ERPNext przed wersjami 15.109.0 i 16.20.0 ma podatność na wstrzykiwanie SQL w funkcji get_tax_template w erpnext/accounts/doctype/tax_rule/tax_rule.py, która konstruuje klauzulę WHERE z wartości pochodzących z żądania (posting_date i args). Uwierzytelniony użytkownik z niskimi uprawnieniami może wstrzyknąć SQL i wyodrębnić wrażliwe informacje.
Ocena ryzyka
Ryzyko wycieku poufnych danych z bazy danych, co może naruszyć prywatność i integralność danych organizacji.
Rekomendacja
Zaktualizuj ERPNext do wersji 15.109.0 lub 16.20.0, w których naprawiono tę podatność. Ogranicz uprawnienia użytkowników i monitoruj zapytania SQL.
Oryginalny opis (angielski, źródło NVD)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.109.0 and 16.20.0, the get_tax_template function in erpnext/accounts/doctype/tax_rule/tax_rule.py constructs an SQL WHERE clause from request-influenced posting_date and args values, allowing an authenticated low-privilege user to inject SQL and extract sensitive information. This issue is fixed in versions 15.109.0 and 16.20.0.