CVE-2026-72910
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
ERPNext to darmowe narzędzie do planowania zasobów przedsiębiorstwa. Przed wersjami 15.112.0 i 16.22.0 funkcje merge_account, pause_job_for_doc, trigger_job_for_doc, change_release_date i update_cost_center w plikach erpnext/accounts/doctype/account/account.py, erpnext/accounts/doctype/process_payment_reconciliation/process_payment_reconciliation.py, erpnext/accounts/doctype/purchase_invoice/purchase_invoice.py i erpnext/accounts/utils.py pomijają wymagane kontrole uprawnień do zapisu, co pozwala uwierzytelnionym użytkownikom z ograniczonymi uprawnieniami na modyfikowanie chronionych danych poza ich rolami. Problem naprawiono w wersjach 15.112.0 i 16.22.0.
Ocena ryzyka
Ryzyko nieautoryzowanej modyfikacji danych finansowych i konfiguracyjnych przez użytkowników z ograniczonymi uprawnieniami, co może prowadzić do naruszenia integralności danych.
Rekomendacja
Zaktualizuj ERPNext do wersji 15.112.0 lub 16.22.0 (lub nowszej), aby zapewnić odpowiednie kontrole uprawnień do zapisu.
Inne podatności w ERPNext
Zobacz wszystkie- CVE-2026-44447Wysokie
ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 16.9.0 niektóre punkty końcowe były podatne na atak typu SQL injection, co mogło umożliwić złośliwemu użytkownikowi wyciągnięcie wrażliwych informacji.
- CVE-2026-44446Wysokie
ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 15.104.3 i 16.14.0 niektóre punkty końcowe były podatne na atak typu SQL injection, co mogło umożliwić złośliwemu użytkownikowi wyciągnięcie wrażliwych informacji.
- CVE-2018-3885Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania HTTP mogą prowadzić do kompromitacji danych poprzez wykorzystanie parametru order_by.
- CVE-2018-3884Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania webowe mogą prowadzić do kompromitacji danych.
- CVE-2018-3883Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na wstrzykiwanie SQL w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania sieciowe mogą prowadzić do kompromitacji danych poprzez atak SQL injection.
- CVE-2018-3882Wysokie
W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Złośliwie skonstruowane żądania webowe mogą prowadzić do kompromitacji danych poprzez wykorzystanie parametru searchfield.
- CVE-2026-65974Krytyczne
ERPNext to darmowe narzędzie do planowania zasobów przedsiębiorstwa o otwartym kodzie źródłowym. Przed wersjami 15.111.0 i 16.22.0, ograniczeni uwierzytelnieni użytkownicy mogą przekroczyć granicę uprawnień w bezpiecznym wykonywaniu Frappe, ponieważ frappe.render_template jest udostępniane bez wymuszania restrict_globals, co pozwala na wstrzyknięcie szablonów po stronie serwera i zdalne wykonanie kodu. Problem został naprawiony w wersjach 15.111.0 i 16.22.0.
- CVE-2026-72911Krytyczne
ERPNext przed wersjami 15.118.0 i 16.29.0 zawiera podatność polegającą na niebezpiecznym renderowaniu szablonów w procesie generowania wyciągów z kont. Uwierzytelniony użytkownik z typową rolą operacyjną może wstrzyknąć wyrażenia szablonu, wykonać dowolny kod po stronie serwera i odczytać dane w całej aplikacji.
- CVE-2026-44442Krytyczne
ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 16.9.1, niektóre punkty końcowe nie egzekwowały odpowiednich kontroli autoryzacji, co pozwalało użytkownikom na modyfikację danych wykraczających poza ich uprawnienia.
- CVE-2026-38431Krytyczne
ERPNext w wersji 15.103.1 i starszych jest podatny na wstrzykiwanie szablonów po stronie serwera (SSTI). Osoba z uprawnieniami do tworzenia lub edycji szablonów e-mail może wstrzyknąć wyrażenia szablonu, które są wykonywane na serwerze podczas renderowania.
Oryginalny opis (angielski, źródło NVD)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.112.0 and 16.22.0, the merge_account, pause_job_for_doc, trigger_job_for_doc, change_release_date, and update_cost_center functions across erpnext/accounts/doctype/account/account.py, erpnext/accounts/doctype/process_payment_reconciliation/process_payment_reconciliation.py, erpnext/accounts/doctype/purchase_invoice/purchase_invoice.py, and erpnext/accounts/utils.py omit required write permission checks, allowing authenticated limited users to modify protected data beyond their roles. This issue is fixed in versions 15.112.0 and 16.22.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS