PT-2026-76787

CVE-2026-65822

·

Publicado

2026-08-17

·

Atualizado

2026-10-23

Descrição por

CVSS 3.1
7.6
Alta
MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L
Nome do Software Vulnerável e Versões Afetadas ERPNext versões anteriores a 15.116.0 ERPNext versões anteriores a 16.23.0
Description Um usuário autenticado pode extrair informações sensíveis e manipular consultas ao banco de dados porque o arquivo erpnext/selling/report/inactive customers/inactive customers.py aceita um filtro de doctype não validado. Este filtro é interpolado em SQL bruto dentro das funções get sales details() e get last sales amt().
Recommendations Atualize para a versão 15.116.0. Atualize para a versão 16.23.0.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-89: Improper Neutralization of Special Elements used in an SQL Command (\'SQL Injection\')
Identificadores relacionados
CVE-2026-65822
GHSA-X35X-4MVX-H959
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com