CVE-2026-65974

Nome do Software Vulnerável e Versões Afetadas ERPNext versões anteriores a 15.111.0 ERPNext versões anteriores a 16.22.0

Description Usuários autenticados com permissões limitadas podem ultrapassar limites de permissão no ambiente de execução segura do Frappe. Isso ocorre porque a função frappe.render template() está exposta sem a imposição do parâmetro restrict globals, permitindo a injeção de template no lado do servidor (SSTI), onde um invasor injeta código malicioso em um template que é então executado no servidor, podendo resultar na execução remota de código.

Recommendations Atualize para a versão 15.111.0. Atualize para a versão 16.22.0.