PT-2026-111065
CVE-2026-109652
·
تاريخ النشر
2026-10-12
·
تاريخ التحديث
2026-10-12
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Frappe ERPNext الإصدارات السابقة لـ 15.119.1
Frappe ERPNext إصدارات 16.x السابقة لـ 16.32.0
Description
يحدث حقن القوالب من جانب الخادم لأن حقول الرسائل التي يتحكم فيها المستخدم لا يتم التحقق من صحتها قبل عرض القالب، مما يسمح بتشغيل التعبيرات في سياق غير مقيد. يمكن للمهاجمين المصرح لهم والذين يمتلكون دورًا تشغيليًا شائعًا حقن تعبيرات القوالب لقراءة وكتابة بيانات عشوائية في قاعدة البيانات، وحذف المستندات، وإرسال طلبات خارجية من الخادم، وإرسال بريد إلكتروني من الموقع.
Recommendations
التحديث إلى الإصدار 15.119.1 أو أحدث.
التحديث إلى الإصدار 16.32.0 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾