CVE-2025-66438

Frappe ERPNext'in 15.89.0 sürümüne kadar olan versiyonlarında, Print Format oluşturma mekanizması üzerinden bir Sunucu Taraflı Şablon Enjeksiyonu (SSTI) zafiyeti bulunmaktadır. Spesifik olarak, frappe.www.printview.get_html_and_style() API'si, get_rendered_template() çağrı zinciri aracılığıyla frappe.render_template(template, doc) kullanarak bir Print Format belgesi içindeki html alanının işlenmesini tetikler. ERPNext, Jinja2'yi bir SandboxedEnvironment ile sarmalamış olsa da, get_safe_globals() aracılığıyla frappe.db.sql gibi hassas fonksiyonları dışarı açmaktadır. Print Format oluşturma veya değiştirme yetkisine sahip kimliği doğrulanmış bir saldırgan, html alanına rastgele Jinja ifadeleri enjekte edebilir. Kötü amaçlı Print Format kaydedildikten sonra saldırgan, işleme sürecini tetiklemek için hedef bir belgeyle (örneğin, Supplier veya Sales Invoice) get_html_and_style() fonksiyonunu çağırabilir. Bu durum, enjekte edilen yükle bağlı olarak veritabanı sürümü, şema detayları veya hassas değerler gibi veritabanından bilgi ifşasına yol açar. İstismar akışı: html alanında SSTI yükü içeren bir Print Format oluşturun; get_html_and_style() API'sini çağırın; bu işlem get_rendered_template() içinde frappe.render_template(template, doc) işlemini tetikler; frappe.db.sql veya diğer açık global değişkenler aracılığıyla veritabanı bilgileri sızdırılır.