CVE-2025-66437
Təsvir
Frappe ERPNext-in 15.89.0 versiyasına qədər olan versiyalarında get_address_display metodunda SSTI (Server-Side Template Injection) zəifliyi mövcuddur. Bu funksiya ünvan şablonlarını, address_dict parametrindən törəmiş kontekstlə frappe.render_template() vasitəsilə render edir; həmin parametr lüğət və ya Address sənədinə istinad edən sətir ola bilər. ERPNext xüsusi Jinja2 SandboxedEnvironment istifadə etsə də, frappe.db.sql kimi təhlükəli funksiyalar get_safe_globals() vasitəsilə əlçatan olaraq qalır. Address Template yaratmaq və ya dəyişdirmək icazəsi olan autentifikasiya olunmuş hücumçu, şablon sahəsinə ixtiyari Jinja ifadələri yerləşdirə bilər. Uyğun ölkəyə malik Address sənədi yaratmaqla və sonra address_dict="address_name" ilə get_address_display API-ni çağırmaqla sistem zərərli şablonu hücumçunun idarə etdiyi məlumatlarla render edəcəkdir. Bu, server tərəfində kodun icrasına və ya verilənlər bazası məlumatlarının sızmasına səbəb olur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| frappe erpnext | v ≤ 15.89.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.