Podatności ERPNext

ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 16.9.0 niektóre punkty końcowe były podatne na atak typu SQL injection, co mogło umożliwić złośliwemu użytkownikowi wyciągnięcie wrażliwych informacji.

ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 15.104.3 i 16.14.0 niektóre punkty końcowe były podatne na atak typu SQL injection, co mogło umożliwić złośliwemu użytkownikowi wyciągnięcie wrażliwych informacji.

W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania HTTP mogą prowadzić do kompromitacji danych poprzez wykorzystanie parametru order_by.

W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania webowe mogą prowadzić do kompromitacji danych.

W ERPNext w wersji 10.1.6 występuje podatność na wstrzykiwanie SQL w uwierzytelnionej części aplikacji. Specjalnie skonstruowane żądania sieciowe mogą prowadzić do kompromitacji danych poprzez atak SQL injection.

W ERPNext w wersji 10.1.6 występuje podatność na zdalne wykonanie kodu w wyniku ataku SQL injection w uwierzytelnionej części aplikacji. Złośliwie skonstruowane żądania webowe mogą prowadzić do kompromitacji danych poprzez wykorzystanie parametru searchfield.

ERPNext to darmowe narzędzie do planowania zasobów przedsiębiorstwa o otwartym kodzie źródłowym. Przed wersjami 15.111.0 i 16.22.0, ograniczeni uwierzytelnieni użytkownicy mogą przekroczyć granicę uprawnień w bezpiecznym wykonywaniu Frappe, ponieważ frappe.render_template jest udostępniane bez wymuszania restrict_globals, co pozwala na wstrzyknięcie szablonów po stronie serwera i zdalne wykonanie kodu. Problem został naprawiony w wersjach 15.111.0 i 16.22.0.

ERPNext przed wersjami 15.118.0 i 16.29.0 zawiera podatność polegającą na niebezpiecznym renderowaniu szablonów w procesie generowania wyciągów z kont. Uwierzytelniony użytkownik z typową rolą operacyjną może wstrzyknąć wyrażenia szablonu, wykonać dowolny kod po stronie serwera i odczytać dane w całej aplikacji.

ERPNext to darmowe i otwarte narzędzie do zarządzania zasobami przedsiębiorstwa. W wersjach przed 16.9.1, niektóre punkty końcowe nie egzekwowały odpowiednich kontroli autoryzacji, co pozwalało użytkownikom na modyfikację danych wykraczających poza ich uprawnienia.

ERPNext w wersji 15.103.1 i starszych jest podatny na wstrzykiwanie szablonów po stronie serwera (SSTI). Osoba z uprawnieniami do tworzenia lub edycji szablonów e-mail może wstrzyknąć wyrażenia szablonu, które są wykonywane na serwerze podczas renderowania.

W ERPNext v16.0.1 i Frappe Framework v16.1.1 wykryto podatność SSRF w funkcji generowania PDF z formatów wydruku. Niewystarczająca sanityzacja HTML dostarczanego przez użytkownika pozwala na osadzenie elementów takich jak <iframe>, które są pobierane przez serwer. Atakujący może wykorzystać to do wykonywania żądań HTTP do wewnętrznych usług, w tym do punktów końcowych metadanych chmury, co grozi wyciekiem poufnych informacji.

W ERPNext v15.83.2 i Frappe Framework v15.86.0 nieprawidłowa walidacja przesłanych obrazów SVG awatarów pozwala atakującym na osadzenie złośliwego JavaScriptu. Payload wykonuje się, gdy administrator kliknie link do obrazu, co prowadzi do trwałego XSS. Może to umożliwić przejęcie konta, eskalację uprawnień lub pełną kompromitację instancji ERPNext.

ERPNext przed wersjami 15.116.0 i 16.23.0 zawiera podatność polegającą na nieprawidłowej walidacji filtra doctype, który jest interpolowany do surowego SQL w funkcjach get_sales_details i get_last_sales_amt. Uwierzytelniony użytkownik może wykorzystać ten błąd do wydobycia wrażliwych informacji i manipulowania zapytaniami do bazy danych.

ERPNext to darmowe narzędzie do planowania zasobów przedsiębiorstwa. Przed wersjami 15.112.0 i 16.22.0 funkcje merge_account, pause_job_for_doc, trigger_job_for_doc, change_release_date i update_cost_center w plikach erpnext/accounts/doctype/account/account.py, erpnext/accounts/doctype/process_payment_reconciliation/process_payment_reconciliation.py, erpnext/accounts/doctype/purchase_invoice/purchase_invoice.py i erpnext/accounts/utils.py pomijają wymagane kontrole uprawnień do zapisu, co pozwala uwierzytelnionym użytkownikom z ograniczonymi uprawnieniami na modyfikowanie chronionych danych poza ich rolami. Problem naprawiono w wersjach 15.112.0 i 16.22.0.

ERPNext to darmowe narzędzie do planowania zasobów przedsiębiorstwa. Przed wersjami 15.112.0 i 16.23.0 ścieżka prepare_conditions w raporcie ReceivablePayableReport w pliku erpnext/accounts/report/accounts_receivable/accounts_receivable.py nie stosuje uprawnień użytkownika Customer i Supplier do dynamicznego pola party w Payment Ledger Entry, co pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt nieautoryzowanych danych finansowych między firmami w raportach Accounts Receivable i Accounts Payable. Problem naprawiono w wersjach 15.112.0 i 16.23.0.

ERPNext przed wersjami 15.109.0 i 16.20.0 ma podatność na wstrzykiwanie SQL w funkcji get_tax_template w erpnext/accounts/doctype/tax_rule/tax_rule.py, która konstruuje klauzulę WHERE z wartości pochodzących z żądania (posting_date i args). Uwierzytelniony użytkownik z niskimi uprawnieniami może wstrzyknąć SQL i wyodrębnić wrażliwe informacje.

ERPNext przed wersjami 15.111.0 i 16.22.0 ma podatność w funkcji add_ac w erpnext/accounts/utils.py, która akceptuje argument ignore_permissions bez egzekwowania uprawnień tworzenia konta. Uwierzytelniony użytkownik z ograniczonymi uprawnieniami może tworzyć nieautoryzowane rekordy księgowe, co wpływa na integralność danych finansowych i ścieżki audytu.

ERPNext przed wersjami 15.111.0 i 16.22.0 ma podatność w funkcji send_auto_email w erpnext/accounts/doctype/process_statement_of_accounts/process_statement_of_accounts.py, która nie sprawdza uprawnień Process Statement Of Accounts. Uwierzytelniony użytkownik z niskimi uprawnieniami może wyzwalać automatyczne e-maile poza dozwoloną rolą.

W ERPNext w wersjach przed 16.25.0 i przed 15.115.0 występuje podatność na nieprawidłową autoryzację w metodzie API erpnext.crm.doctype.prospect.prospect.get_opportunities. Niewystarczająca kontrola dostępu pozwala nieautoryzowanym użytkownikom na dostęp do danych.

W ERPNext i Frappe znaleziono podatność SQL injection w konstrukcji zapytań przez bezpośrednią interpolację stringów. Uwierzytelniony użytkownik z niskimi uprawnieniami może wykonać dowolne zapytania SQL, ominąć ograniczenia dostępu i wyciągnąć poufne dane, w tym hash hasła administratora.

ERPNext przed wersjami 15.111.0 i 16.22.0 zawiera podatność na wstrzykiwanie szablonów po stronie serwera (SSTI) poprzez pole konfiguracyjne. Uwierzytelniony użytkownik ze standardową rolą operacyjną może wykorzystać tę lukę do nieautoryzowanego ujawnienia danych wykraczających poza jego uprawnienia.

Uwierzytelniony użytkownik może utrwalić dowolny kod HTML/JavaScript w polach email_id lub mobile_no rekordu klienta i wywołać nieskapowane renderowanie w interfejsie Point of Sale (POS) dla każdego operatora, który wybierze tego klienta. Problem dotyczy ERPNext w wersji 16.16.0.

ERPNext w wersji 16.16.0 pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do edycji pozycji na trwałe wstrzykiwać dowolny kod HTML/JavaScript w polach item_name, description lub image. Kod ten jest renderowany bez escapowania w interfejsie POS dla każdego operatora dodającego taką pozycję do transakcji.

ERPNext w wersji 15.103.1 i wcześniejszych jest podatny na Cross-Site Scripting (XSS) w silniku szablonów e-mail. Atakujący z uprawnieniami do tworzenia lub edycji szablonów e-mail może wstrzyknąć złośliwy kod JavaScript, który wykonuje się w przeglądarce ofiary podczas stosowania szablonu.