ERPNext tárolt XSS-hibája az eszköznézetben szkriptet futtat az áldozatok munkamenetében (CVE-2026-109604)

Mi történt

Az ERPNext eszköznézete a tárolt rekordneveket HTML-kódolás nélkül illeszti be az oldal HTML-kódjába. Egy alacsony jogosultságú, hitelesített felhasználó rosszindulatú nevet adhat egy rekordnak, és amikor egy másik felhasználó megnyitja az adott eszköznézetet, a szkript az ő munkamenetében fut le.

A CVSS 4.0 pontszám 8,5, ami magas súlyosságot jelent: a támadás a hálózaton keresztül elérhető, alacsony összetettségű, alacsony szintű jogosultságot és passzív felhasználói interakciót igényel, és veszélyeztetheti az áldozat munkamenetének bizalmasságát és sértetlenségét. A CVE-bejegyzés nem jelez aktív kihasználást, és nyilvános kihasználási tevékenységről sincs feljegyzés.

Kit érint

Az érintett verziók: az ERPNext 15.112.0 előtti verziói, valamint a 16.x ág a 16.0.0-beta.1 verziótól a 16.23.0 előtti verziókig. Az ERPNext jellemzően központilag üzemeltetett ERP-rendszer, ezért az eszköznézetet általában munkavállalók vagy más hitelesített felhasználók nyitják meg. A kockázat ott a legnagyobb, ahol sok hitelesített felhasználó hozhat létre rekordokat, és ahol egy-egy felhasználó munkamenete érzékeny funkciókhoz vagy adatokhoz férhet hozzá. Ha az Ön példánya a javított verziók valamelyikénél korábbi kiadáson fut, akkor az érintett verziótartományba esik.

Mit kell most tenni

1. Vegye számba az ERPNext-példányokat, és állapítsa meg, hogy azok a 15.112.0 előtti kiadást vagy a 16.x ág 16.23.0 előtti kiadását futtatják-e.
2. Frissítsen a javított kiadásra: a 15.x ág esetén az erpnext 15.112.0, a 16.x ág esetén pedig az erpnext 16.23.0 verzióra.
3. Nem tettek közzé kerülő megoldást. Amíg a frissítés nem lehetséges, korlátozza a rekordok létrehozására vonatkozó jogosultságot a megbízható felhasználókra, és kísérje figyelemmel az érintett eszköznézetet az olyan rekordnevekre, amelyek HTML-kódot vagy JavaScriptet tartalmaznak.
4. A frissítés után győződjön meg arról, hogy a rendszer a rosszindulatú rekordneveket a megjelenítésük előtt megtisztítja vagy semlegesíti.

Hogyan észlelhető

A GitHub biztonsági közlemény és a CVE-bejegyzés nem sorol fel konkrét kompromittálódásra utaló jeleket. Mivel a támadási vektor egy rosszindulatú rekordnév, vizsgálja át az érintett eszköznézetben a nemrég létrehozott vagy módosított rekordokat, és keressen olyan neveket, amelyek csúcsos zárójeleket (< >), szkriptcímkéket vagy JavaScript-eseménykezelőket tartalmaznak. Tekintse át a hozzáférési naplókat is, hogy az adott eszköznézetet hitelesített felhasználók szokatlan időpontokban nyitották-e meg; ez önmagában nem bizonyító erejű, de segíthet a vizsgálat körének meghatározásában.

A javításon túl

A tárolt XSS érvényesítési hiba, amely gyakran átcsúszik a funkcionális teszteken, mert a rekord a létrehozója számára normálisnak tűnik, és csak a következő felhasználónál okoz hibás működést. Ha az ERPNext olyan beszállítók, partnerek vagy ügyfelek számára is elérhető, akik rekordokat hozhatnak létre, egy alkalmazás-penetrációs teszt és egy megerősítési felülvizsgálat még a bevezetés előtt feltárhatja ezt a hibát. A Bevezetési és felmérési szolgáltatások ezt a tesztelést biztosítja, az ellátási lánc védelem és a harmadik felekkel kapcsolatos kockázatok kezelése pedig segíthet nyomon követni a harmadik féltől származó termékek – például az ERPNext – javítási kitettségét.