PT-2026-31332
CVE-2026-31017
·
تاريخ النشر
2026-04-08
·
تاريخ التحديث
2026-10-05
الوصف من
CVSS 3.1
9.1
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
ERPNext الإصدار 16.0.1
إطار عمل Frappe الإصدار 16.1.1
الوصف
توجد ثغرة من نوع تزوير الطلبات من جانب الخادم (SSRF) في وظيفة «تنسيق الطباعة». يؤدي عدم تطهير كود HTML الذي يقدمه المستخدم بشكل كافٍ قبل عرض ملف PDF إلى تمكين المهاجمين من تضمين عناصر HTML مثل
<iframe> التي تشير إلى موارد خارجية. يقوم محرك عرض ملفات PDF بجلب هذه الموارد من جانب الخادم، مما يمكّن المهاجمين من إجبار الخادم على إرسال طلبات HTTP عشوائية إلى الخدمات الداخلية، مما قد يؤدي إلى الكشف عن معلومات حساسة، بما في ذلك نقاط نهاية البيانات الوصفية السحابية.التوصيات
تحديث ERPNext إلى إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
تحديث Frappe Framework إلى إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾