CVE-2026-12895
Açıklama
Frappe'nin ERPNext ürününde, ERPNext 15.107.0 ve Frappe 15.107.2 versiyonlarında bir SQL enjeksiyonu tespit edilmiştir. Uygulama, parametreli sorgular kullanmak yerine `str.format()` aracılığıyla doğrudan dize enterpolasyonu ile SQL sorguları oluşturmaktadır; bu durum, SQL meta karakterleri içeren bir Supplier kaydının adının (docname) sorgunun bir parçası olarak yorumlanmasına izin vermektedir. Bu zafiyetin istismar edilmesi, düşük yetkili kimliği doğrulanmış bir kullanıcının rastgele SQL sorguları yürütmesine, Frappe'nin erişim kısıtlamalarını (DocPerm) atlatmasına, yönetici şifre özetinin bölümleri dahil olmak üzere veritabanından gizli bilgileri çıkarmasına ve kimlik bilgileri, entegrasyon belirteçleri veya finansal bilgiler gibi diğer hassas verilere erişmesine olanak tanıyabilir.
Nasıl düzeltilir
- Frappe ERPNext15.111.0, 16.22.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Frappe ERPNext | v < 15.111.0, v < 16.22.0 | 15.111.0, 16.22.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.