CVE-2018-20061
Açıklama
ERPNext 10.x ve 11.x ile 11.0.3-beta.29 arasındaki sürümlerde bir SQL enjeksiyonu sorunu keşfedilmiştir. Bu saldırı yalnızca oturum açmış bir kullanıcı tarafından gerçekleştirilebilir; ancak birçok ERPNext sitesi web üzerinden hesap oluşturulmasına izin vermektedir. Saldırıyı gerçekleştirmek için özel ayrıcalıklara ihtiyaç yoktur. Dikkatle seçilmiş argümanlarla sunucu tarafındaki bir Python fonksiyonunu çağıran bir JavaScript fonksiyonunun çağrılmasıyla, veritabanındaki herhangi bir tablodan herhangi bir sütunu döndürecek SQL sorgularının oluşturulmasına olanak tanıyan bir SQL saldırısı gerçekleştirilebilir. Bu durum /api/resource/Item?fields= URI'leri, frappe.get_list ve frappe.call ile ilgilidir.
Nasıl düzeltilir
- frappe erpnext11.0.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| frappe erpnext | 10.0.0 ≤ v ≤ 10.1.76, 11.0.0 ≤ v < 11.0.3, 11.0.3 | 11.0.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.