CVE-2025-66438

Frappe ERPNext-də 15.89.0 versiyasına qədər olan Print Format render mexanizmində Server-Side Template Injection (SSTI) zəifliyi mövcuddur. Xüsusilə, frappe.www.printview.get_html_and_style() API-si, get_rendered_template() çağırış zənciri vasitəsilə frappe.render_template(template, doc) istifadə edərək Print Format sənədindəki html sahəsinin render edilməsini tətikləyir. ERPNext Jinja2-ni SandboxedEnvironment daxilinə alsa da, get_safe_globals() vasitəsilə frappe.db.sql kimi həssas funksiyaları açıq saxlayır. Print Format yaratmaq və ya dəyişdirmək icazəsi olan autentifikasiya olunmuş hücumçu, html sahəsinə ixtiyari Jinja ifadələri yerləşdirə bilər. Zərərli Print Format yadda saxlanıldıqdan sonra, hücumçu render prosesini tətikləmək üçün hədəf sənədlə (məsələn, Supplier və ya Sales Invoice) get_html_and_style() funksiyasını çağıra bilər. Bu, yerləşdirilmiş payload-dan asılı olaraq verilənlər bazasının versiyası, sxem detalları və ya həssas dəyərlər kimi məlumatların sızmasına səbəb olur. Ekspluatasiya axını: html sahəsində SSTI payload ilə Print Format yaradın; get_html_and_style() API-sini çağırın; bu, get_rendered_template() daxilində frappe.render_template(template, doc) funksiyasını tətikləyir; frappe.db.sql və ya digər açıq qlobal dəyişənlər vasitəsilə verilənlər bazası məlumatları sızdırılır.