Tín Phạm

**Name of the Vulnerable Software and Affected Versions** Frappe ERPNext version 15.57.5 **Description** The `get rfq containing supplier()` function located at `erpnext/buying/doctype/request for quotation/request for quotation.py` is susceptible to SQL Injection. An attacker can inject a SQL query through the `txt` parameter, potentially allowing extraction of all information from databases. **Recommendations** Apply a fix that properly sanitizes the `txt` parameter used in the `get rfq containing supplier()` function.

**Nome do Software Vulnerável e Versões Afetadas** Frappe ERPNext versão 15.57.5 **Descrição** A função `get material requests based on supplier()` localizada em `erpnext/stock/doctype/material request/material request.py` está suscetível a Injeção de SQL. Um atacante pode injetar uma consulta SQL no parâmetro `txt`, permitindo potencialmente a extração de todas as informações dos bancos de dados. **Recomendações** Aplique uma correção à função `get material requests based on supplier()` em `erpnext/stock/doctype/material request/material request.py` para prevenir ataques de Injeção de SQL.

**Nome do Software Vulnerável e Versões Afetadas** Frappe ERPNext versão 15.57.5 **Descrição** A função `get blanket orders()` em `erpnext/controllers/queries.py` está suscetível a Injeção de SQL. Um atacante pode potencialmente extrair informações de bancos de dados injetando uma consulta SQL no parâmetro `blanket order type`. **Recomendações** Aplique uma correção para o problema de Injeção de SQL na função `get blanket orders()` em `erpnext/controllers/queries.py` na versão 15.57.5.

**Nome do Software Vulnerável e Versões Afetadas** Frappe ERPNext versão 15.57.5 **Descrição** A função `get stock balance for()` localizada em `erpnext/stock/doctype/stock reconciliation/stock reconciliation.py` está suscetível a Injeção de SQL. Um atacante pode injetar uma consulta SQL através do parâmetro `inventory dimensions dict`, potencialmente permitindo a extração de todas as informações dos bancos de dados. **Recomendações** Aplique uma correção à função `get stock balance for()` em `erpnext/stock/doctype/stock reconciliation/stock reconciliation.py` para prevenir Injeção de SQL através do parâmetro `inventory dimensions dict`.

**Nome do Software Vulnerável e Versões Afetadas** Frappe ERPNext versão 15.57.5 **Descrição** A função `import coa()` localizada em `erpnext/accounts/doctype/chart of accounts importer/chart of accounts importer.py` está suscetível a injeção de SQL. Um atacante pode injetar uma consulta SQL através do parâmetro `company`, potencialmente permitindo a extração de todos os dados dos bancos de dados. A função vulnerável é `import coa()`. **Recomendações** Aplique uma correção para o Frappe ERPNext versão 15.57.5 para resolver o problema de injeção de SQL na função `import coa()`.

**Nome do Software Vulnerável e Versões Afetadas** Frappe ErpNext versão 15.57.5 **Descrição** A função `get timesheet detail rate()` localizada em `erpnext/projects/doctype/timesheet/timesheet.py` está suscetível a Injeção de SQL. Isso permite que um atacante extraia informações de bancos de dados injetando consultas SQL através do parâmetro `timelog`. **Recomendações** Atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade. Como medida temporária, considere restringir o acesso à função `get timesheet detail rate()` até que um patch esteja disponível.

**Nome do Software Vulnerável e Versões Afetadas** Frappe ERPNext versão 15.57.5 **Descrição** A função `get loyalty program details with points()` localizada em `erpnext/accounts/doctype/loyalty program/loyalty program.py` está suscetível a Injeção de SQL. Um atacante pode injetar uma consulta SQL no parâmetro `expiry date`, potencialmente permitindo a extração de todas as informações dos bancos de dados. **Recomendações** Aplique uma correção na função `get loyalty program details with points()` em `erpnext/accounts/doctype/loyalty program/loyalty program.py` para prevenir ataques de Injeção de SQL.

**Nome do Software Vulnerável e Versões Afetadas** Frappe ERPNext versão 15.57.5 **Descrição** O Frappe ERPNext versão 15.57.5 contém uma vulnerabilidade de injeção de SQL na função `get stock balance()` localizada em `erpnext/stock/utils.py`. Um atacante pode injetar uma consulta SQL no parâmetro `inventory dimensions dict`, potencialmente permitindo-lhe extrair informações dos bancos de dados. **Recomendações** Atualize para a versão 15.57.6 ou posterior.