CVE-2026-109652
Açıklama
15.119.1 öncesindeki Frappe ERPNext ve 16.32.0 öncesindeki 16.x sürümleri, kullanıcı kontrollü mesaj alanlarının şablon işleme öncesinde doğrulanmaması nedeniyle bir sunucu tarafı şablon enjeksiyonu (SSTI) zafiyeti içermektedir; bu durum ifadelerin kısıtlanmamış bir bağlamda çalıştırılmasına olanak tanır. Yaygın bir operasyonel role sahip kimliği doğrulanmış saldırganlar, rastgele veritabanı verilerini okumak ve yazmak, belgeleri silmek, sunucudan dışa doğru istekler göndermek ve siteden e-posta göndermek için şablon ifadeleri enjekte edebilirler.
Nasıl düzeltilir
- frappe erpnext15.119.1, 16.32.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| frappe erpnext | v < 15.119.1, 16.0.0-beta.1 ≤ v < 16.32.0 | 15.119.1, 16.32.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.