CVE-2026-31017
Açıklama
ERPNext v16.0.1 ve Frappe Framework v16.1.1'in Print Format işlevselliğinde, kullanıcı tarafından sağlanan HTML içeriğinin PDF'e dönüştürülmeden önce yetersiz şekilde temizlenmesi nedeniyle bir Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyeti bulunmaktadır. Kullanıcı kontrollü HTML içeriklerinden PDF oluşturulurken uygulama, harici kaynaklara referans veren <iframe> gibi HTML öğelerinin eklenmesine izin vermektedir. PDF oluşturma motoru, bu kaynakları sunucu tarafında otomatik olarak getirir. Bir saldırgan, bu davranışı kötüye kullanarak sunucuyu, bulut meta veri uç noktaları da dahil olmak üzere dahili servislere rastgele HTTP istekleri yapmaya zorlayabilir ve bu durum potansiyel olarak hassas bilgilerin ifşasına yol açabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| frappe erpnext | 16.0.1 | — |
| frappe frappe | 16.1.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.