CVE-2025-65924
Açıklama
ERPNext 15.88.1 ve öncesi sürümler, düz metin için tasarlanmış alanlarda belirli HTML etiketlerini, özellikle de `<a>` hiper bağlantılarını temizlemez veya kaldırmaz. JavaScript engellenmiş olsa da (XSS önlenir), oluşturulan PDF belgesinde HTML korunmaya devam eder. Sonuç olarak, bir saldırgan ERP tarafından oluşturulan bir PDF'e kötü amaçlı tıklanabilir bağlantılar yerleştirebilir. ERP sistemi tarafından oluşturulan PDF dosyaları genellikle güvenilir kabul edildiğinden, kullanıcıların bu bağlantılara tıklama olasılığı yüksektir; bu durum potansiyel olarak kimlik avı saldırılarına veya kötü amaçlı yazılım dağıtımına olanak tanır. Bu sorun 'Add Quality Goal' fonksiyonunda meydana gelmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| frappe erpnext | v ≤ 15.88.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.