CVE-2025-66436
Açıklama
Frappe ERPNext'in 15.89.0 sürümüne kadar olan versiyonlarında, get_terms_and_conditions metodunda bir SSTI (Server-Side Template Injection) zafiyeti bulunmaktadır. Fonksiyon, kullanıcı tarafından sağlanan bir bağlamı (doc) kullanarak saldırgan kontrollü Jinja2 şablonlarını (terms), frappe.render_template() aracılığıyla işlemektedir. Frappe özel bir SandboxedEnvironment kullansa da, frappe.db.sql gibi birçok tehlikeli global değişken get_safe_globals() üzerinden yürütme bağlamında hala erişilebilirdir. Şartlar ve Koşullar belgesi oluşturma veya değiştirme yetkisine sahip kimliği doğrulanmış bir saldırgan, terms alanına rastgele Jinja ifadeleri enjekte ederek kısıtlı ancak hala güvensiz bir bağlamda sunucu tarafında kod çalıştırılmasına neden olabilir. Bu zafiyet, veritabanı bilgilerinin sızdırılması için kullanılabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| frappe erpnext | v ≤ 15.89.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.