CVE-2026-72911

Nome do Software Vulnerável e Versões Afetadas ERPNext versões anteriores a 15.118.0 ERPNext versões anteriores a 16.29.0

Description Um usuário autenticado com uma função operacional comum pode realizar a injeção de modelos no lado do servidor (server-side template injection). Isso ocorre porque as funções validate template() e render template() em erpnext/accounts/doctype/process statement of accounts/process statement of accounts.py renderizam os campos subject, body e pdf name usando globais irrestritas, incluindo frappe.utils. Isso permite que o invasor injete expressões de modelo, execute código arbitrário no lado do servidor e leia dados em todo o aplicativo.

Recommendations Atualize para a versão 15.118.0 ou superior. Atualize para a versão 16.29.0 ou superior.