PT-2026-111065

CVE-2026-109652

Publicado

2026-10-12

Atualizado

2026-10-12

Descrição por

CVSS 3.1

8.8

Alta

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Frappe ERPNext versões anteriores a 15.119.1 Frappe ERPNext versões 16.x anteriores a 16.32.0

Description Ocorre a injeção de template no lado do servidor porque os campos de mensagem controlados pelo usuário não são validados antes da renderização do template, permitindo que expressões sejam executadas em um contexto irrestrito. Atacantes autenticados com uma função operacional comum podem injetar expressões de template para ler e gravar dados arbitrários no banco de dados, excluir documentos, enviar solicitações externas do servidor e enviar e-mails do site.

Recommendations Atualize para a versão 15.119.1 ou posterior. Atualize para a versão 16.32.0 ou posterior.

Explorabilidade

Exploit

Correção

Pesquisadores

Fornecedores

Produtos afetados