PT-2026-69976 · Frappe · Erpnext

CVE-2026-72908

·

Publicado

2026-08-10

·

Atualizado

2026-08-12

CVSS v3.1

6.5

Média

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Nome do Software Vulnerável e Versões Afetadas ERPNext versões anteriores a 15.109.0 ERPNext versões anteriores a 16.20.0
Description Um usuário autenticado com baixos privilégios pode realizar a injeção de SQL para extrair informações sensíveis. Isso ocorre porque a função get tax template() em erpnext/accounts/doctype/tax rule/tax rule.py constrói uma cláusula SQL WHERE utilizando os valores posting date e args influenciados por requisições.
Recommendations Atualizar para a versão 15.109.0. Atualizar para a versão 16.20.0.

Exploit

Correção

SQL injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-72908
GHSA-GRHP-M55M-63F8

Produtos afetados

Erpnext