CVE-2026-12895
Təsvir
Frappe-nin ERPNext məhsulunda, ERPNext 15.107.0 və Frappe 15.107.2 versiyalarında SQL inyeksiyası. Tətbiq parametrləşdirilmiş sorğulardan istifadə etmədən `str.format()` vasitəsilə birbaşa sətir interpolyasiyası ilə SQL sorğuları qurur və bu, SQL metasimvolları olan Supplier qeydinin adının (docname) sorğunun bir hissəsi kimi şərh olunmasına imkan verir. Bu zəiflikdən istifadə aşağı imtiyazlı autentifikasiya olunmuş istifadəçiyə ixtiyari SQL sorğuları icra etməyə, Frappe-nin giriş məhdudiyyətlərini (DocPerm) yan keçməyə, verilənlər bazasından məxfi məlumatları — o cümlədən administratorun parol heşinin fraqmentlərini — çıxarmağa və digər həssas məlumatlara, məsələn, etimadnamələrə, inteqrasiya tokenlərinə və ya maliyyə məlumatlarına çıxış əldə etməyə imkan verə bilər.
Necə düzəltmək olar
- Frappe ERPNext15.111.0, 16.22.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Frappe ERPNext | v < 15.111.0, v < 16.22.0 | 15.111.0, 16.22.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.