Frappe ERPNext: Serverseitige Template-Injection in Nachrichtenfeldern ermöglicht authentifizierten Benutzern das Lesen und Schreiben von Daten (CVE-2026-109652)

Was passiert ist

ERPNext validiert benutzergesteuerte Nachrichtenfelder nicht, bevor diese an die Template-Engine übergeben werden. Ein Angreifer, der sich mit einer gängigen operativen Rolle authentifizieren kann und diese Felder setzen oder beeinflussen kann, kann serverseitige Template-Ausdrücke einschleusen. Die Ausdrücke werden in einem uneingeschränkten Kontext ausgeführt, sodass der Angreifer beliebige Datenbankdaten lesen und schreiben, Dokumente löschen, den Server zu ausgehenden Anfragen veranlassen und E-Mails von der Website aus versenden kann.

Der CVSS-4.0-Wert liegt bei 8,7 (Hoch): Der Angriffsvektor ist das Netzwerk, die Angriffskomplexität ist niedrig, der Angreifer benötigt nur geringe Rechte und keine Benutzerinteraktion, und die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit des ERPNext-Systems sind hoch. In den Quellen des Sicherheitshinweises findet sich kein Hinweis darauf, dass diese Schwachstelle bereits in freier Wildbahn ausgenutzt wurde.

Wer betroffen ist

Betroffen sind ERPNext-Versionen vor 15.119.1. Die 16.x-Reihe ist von 16.0.0-beta.1 bis zu allen Versionen vor 16.32.0 betroffen. Es handelt sich um das Produkt ERPNext, und die Schwachstelle ist für einen authentifizierten Benutzer mit einer gängigen operativen Rolle erreichbar.

Was jetzt zu tun ist

1. Prüfen Sie, ob Sie ERPNext 15.x in einer Version vor 15.119.1 oder 16.x in einer Version vor 16.32.0 einsetzen.
2. Aktualisieren Sie auf ERPNext 15.119.1, wenn Sie die 15.x-Reihe einsetzen, oder auf ERPNext 16.32.0, wenn Sie die 16.x-Reihe einsetzen. Dabei handelt es sich um die korrigierten Versionen.
3. Im Sicherheitshinweis wird keine Problemumgehung beschrieben. Bis Sie aktualisieren können, schränken Sie ein, welche Konten die betroffenen Nachrichtenfelder oder Templates verwenden dürfen, und überwachen Sie die unten aufgeführten Verhaltensweisen.
4. Prüfen Sie nach dem Update die Protokolle auf unerwartete Datenbankänderungen, ausgehende Anfragen vom ERPNext-Server oder ungewöhnliche E-Mail-Aktivitäten.

Wie man es erkennt

Der Sicherheitshinweis veröffentlicht keine vom Hersteller definierten Kompromittierungsindikatoren. Überwachen Sie auf Grundlage der beschriebenen Möglichkeiten unerwartete ausgehende HTTP- oder andere Anfragen vom ERPNext-Server, ungewöhnliche von der Website versendete E-Mails sowie Änderungen oder Löschungen von Dokumenten durch Konten mit geringen Rechten.

Über den Patch hinaus

Diese Schwachstelle ist ebenso ein Problem des Patch-Zyklus wie ein Codefehler: Ein Konto mit geringen Rechten in ERPNext kann bis zur Bereitstellung der korrigierten Versionen umfassenden Datenbank- und E-Mail-Zugriff erlangen. Mit Lieferkettenschutz & Drittanbieterrisiken behalten Sie den Überblick, welche Software Sie von welchen Anbietern einsetzen und wie schnell Korrekturen erscheinen. Wenn Ihre ERPNext-Instanz aus dem Internet erreichbar oder öffentlich zugänglich ist, können wir mit Implementierungs- und Bewertungsleistungen prüfen, ob die Instanz und ihre Verarbeitung von Nachrichtenfeldern vor und nach einem Upgrade erreichbar sind.