PT-2026-65783
CVE-2026-12895
·
Publicado
2026-07-29
·
Atualizado
2026-07-29
Descrição por
CVSS 4.0
7.1
AltaMétricasAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Nome do Software Vulnerável e Versões Afetadas
ERPNext versão 15.107.0
Frappe versão 15.107.2
Description
Existe um problema onde a aplicação constrói consultas SQL utilizando interpolação direta de strings via
str.format() em vez de consultas parametrizadas. Isso permite que o docname de um registro de Fornecedor contendo metacaracteres SQL seja interpretado como parte da consulta. Um usuário autenticado com baixos privilégios poderia explorar isso para executar consultas SQL arbitrárias, ignorar as restrições de acesso DocPerm e extrair dados confidenciais, incluindo fragmentos do hash de senha do administrador, credenciais, tokens de integração ou informações financeiras.Recommendations
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾