CVE-2026-109652
Təsvir
Frappe ERPNext-in 15.119.1-dən əvvəlki və 16.x versiyasının 16.32.0-dan əvvəlki versiyalarında server tərəfli şablon inyeksiyası (SSTI) zəifliyi mövcuddur, çünki istifadəçi tərəfindən idarə olunan mesaj sahələri şablon render edilməzdən əvvəl yoxlanılmır və bu, ifadələrin məhdudiyyətsiz kontekstdə işləməsinə şərait yaradır. Adi əməliyyat rolu olan autentifikasiya olunmuş hücumçular şablon ifadələri inyeksiya edərək ixtiyari verilənlər bazası məlumatlarını oxuya və yaza, sənədləri silə, serverdən kənar sorğular göndərə və saytdan e-poçt göndərə bilərlər.
Necə düzəltmək olar
- frappe erpnext15.119.1, 16.32.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| frappe erpnext | v < 15.119.1, 16.0.0-beta.1 ≤ v < 16.32.0 | 15.119.1, 16.32.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.