CVE-2025-66439

Nome do Software Vulnerável e Versões Afetadas Versões do Frappe ERPNext até a 15.89.0

Descrição Existe uma falha no Frappe ERPNext que permite a um atacante extrair dados arbitrários do banco de dados. A função get outstanding reference documents(), localizada em erpnext.accounts.doctype.payment entry.payment entry.py, está susceptível a Injeção de SQL. Isso se deve à interpolação direta do parâmetro from posting date em uma consulta sem a devida sanitização ou vinculação de parâmetros. O endpoint da API não é mencionado explicitamente. O parâmetro vulnerável é from posting date.

Recomendações Versões anteriores à 15.89.0 devem ser atualizadas.