ERPNext: Gespeicherte XSS-Schwachstelle in der Werkzeugansicht führt Skripte in den Sitzungen der Betroffenen aus (CVE-2026-109604)

Was passiert ist

Die Werkzeugansicht von ERPNext übernimmt gespeicherte Datensatznamen in das Markup der Seite, ohne sie zu maskieren. Ein authentifizierter Benutzer mit geringen Rechten kann einen Datensatz mit einem bösartigen Namen anlegen. Öffnet eine andere Person dieses Werkzeug, wird das Skript in der Sitzung dieser Person ausgeführt.

Der Wert gemäß CVSS 4.0 liegt bei 8,5 und wird als hoch eingestuft: Der Angriff ist über das Netzwerk erreichbar, weist eine geringe Komplexität auf, erfordert geringe Rechte und passive Nutzerinteraktion und kann die Vertraulichkeit und Integrität der Sitzung des Opfers gefährden. Der CVE-Eintrag meldet keine aktive Ausnutzung, und es sind keine öffentlichen Exploit-Aktivitäten dokumentiert.

Wer betroffen ist

Betroffen sind ERPNext-Versionen vor 15.112.0 sowie die 16.x-Linie von 16.0.0-beta.1 bis vor 16.23.0. ERPNext wird in der Regel zentral gehostet, weshalb die Werkzeugansicht meist von Mitarbeiterinnen und Mitarbeitern oder anderen authentifizierten Benutzern geöffnet wird. Das Risiko ist am höchsten, wenn viele authentifizierte Benutzer Datensätze anlegen können und wenn die Sitzung einer einzelnen Person auf sensible Funktionen oder Daten zugreifen kann. Setzt Ihre Instanz eine Version unterhalb einer der korrigierten Versionen ein, liegen Sie im betroffenen Bereich.

Was jetzt zu tun ist

1. Erfassen Sie Ihre ERPNext-Instanzen und prüfen Sie, ob sie einen Stand vor 15.112.0 oder eine 16.x-Version vor 16.23.0 ausführen.
2. Aktualisieren Sie auf die korrigierte Version: erpnext 15.112.0 für die 15.x-Linie oder erpnext 16.23.0 für die 16.x-Linie.
3. Es wurde keine Problemumgehung veröffentlicht. Solange ein Update nicht möglich ist, beschränken Sie das Anlegen von Datensätzen auf vertrauenswürdige Benutzer und überwachen Sie die betroffene Werkzeugansicht auf Datensätze, deren Namen HTML oder JavaScript enthalten.
4. Prüfen Sie nach der Aktualisierung, ob bösartige Datensatznamen bereinigt oder neutralisiert werden, bevor sie dargestellt werden können.

Wie man es erkennt

Der GitHub-Sicherheitshinweis und der CVE-Eintrag nennen keine spezifischen Indikatoren für eine Kompromittierung. Da der Angriffsvektor ein bösartiger Datensatzname ist, prüfen Sie kürzlich angelegte oder geänderte Datensätze in der betroffenen Werkzeugansicht auf Namen, die spitze Klammern, script-Tags oder JavaScript-Event-Handler enthalten. Prüfen Sie die Zugriffsprotokolle auf authentifizierte Benutzer, die dieses Werkzeug zu ungewöhnlichen Zeiten öffnen. Dies ist für sich genommen nicht beweiskräftig, kann aber helfen, eine Untersuchung einzugrenzen.

Über den Patch hinaus

Gespeichertes XSS ist ein Validierungsfehler, der Funktionstests häufig unbemerkt passiert, weil der Datensatz für die anlegende Person normal aussieht und erst bei der nächsten Person auffällig wird. Wenn ERPNext für Lieferanten, Partner oder Kundinnen und Kunden erreichbar ist, die Datensätze anlegen können, können ein Anwendungs-Penetrationstest und eine Härtungsprüfung solche Schwachstellen bereits vor der Bereitstellung erkennen. Implementierungs- und Bewertungsleistungen umfassen diese Tests, und mit Lieferkettenschutz & Drittparteienrisiko lässt sich die Patch-Abdeckung über Drittanbieterprodukte wie ERPNext hinweg verfolgen.