SQL-injekció a Frappe ERPNextben: bármely hitelesített felhasználó kiváltságos fiók szintjére emelheti jogosultságait (CVE-2026-109608)

Mi történt

A Frappe ERPNext több olyan végpontjában SQL-injekciós sérülékenység található, amelyek nem végeznek bemeneti ellenőrzést. Az alkalmazásba hitelesítést követően belépő támadó – akár hozzárendelt szerepkörök nélkül is – speciálisan kialakított kéréseket küldhet ezekre a végpontokra. A hiba a hálózaton keresztül, alacsony támadási komplexitással és felhasználói beavatkozás nélkül kihasználható, ezért bármely érvényes fiók elegendő a kihasználáshoz.

Az injekció más felhasználók érzékeny adatainak kiolvasására és kiváltságos fiók szintjére történő jogosultságszint-emelésre használható. A CVSS 4.0 szerinti pontszám 8,7, ami magas súlyosságot jelez; a bizalmasságra, a sértetlenségre és a rendelkezésre állásra gyakorolt hatás az ERPNext-példányon belül egyaránt magas.

A CVE-rekord nem említ kihasználást, és a CISA KEV-katalógusa sem sorolja fel ezt a sérülékenységet.

Kit érint

Az érintett verziók: az erpnext 15.121.0 előtti kiadásai, valamint az erpnext 16.0.0-beta.1-től a 16.34.0 előtti verziókig terjedő kiadások. Mivel az ERPNext jellemzően érzékeny üzleti adatokat tárol, a hiba minden olyan telepítésnél fontos, ahol a támadó akár egy alacsony jogosultságú, szerepkör nélküli fiókot is szerezhet. Az érintett ágakon futó telepítéseket a hosztolás módjától függetlenül érintettnek kell tekinteni.

Mit kell most tenni

1. Telepítse a biztonsági javítást. Frissítse az érintett telepítéseket a 15-ös ágon az erpnext 15.121.0, a 16-os ágon pedig az erpnext 16.34.0 verzióra. Ezek a biztonsági közleményben megnevezett javított verziók.
2. Ha a javítást el kell halasztani, csökkentse a kitettséget azzal, hogy az alkalmazás hálózati elérését megbízható felhasználókra és hálózatokra korlátozza. A sérülékenység érvényes hitelesített munkamenetet igényel, ezért annak korlátozása, hogy ki érheti el az alkalmazást, valamint a fióklétrehozások áttekintése csökkenti a rövid távú kockázatot.
3. A frissítés után ellenőrizze a fiókokat és a jogosultságokat, hogy nincsenek-e a javítás előtt létrehozott új kiváltságos fiókok vagy váratlan szerepkör-hozzárendelések.

Kerülő megoldást nem tettek közzé.

A javításon túl

Ez arra emlékeztet, hogy a hitelesített hozzáférés nem jelent megbízható hozzáférést: egy alacsony jogosultságú fiók is elegendő volt ahhoz, hogy a támadó az SQL-injekcióval érzékeny adatokat olvasson ki, és jogosultságszint-emelést hajtson végre. A behatolási teszt és a megerősítési felülvizsgálat pontosan az ilyen, ellenőrizetlen végpontokat érintő hibákat találhatja meg, mielőtt más megtenné, annak nyomon követése pedig, hogy az ERPNext hivatalos kiadásait milyen gyorsan javítják és vezetik be, segít elkerülni a hosszú kitettségi időszakokat. A Bevezetési és felmérési szolgáltatások foglalkozik a teszteléssel és a megerősítéssel, az Ellátási lánc védelem és harmadik felekkel kapcsolatos kockázatok pedig segít nyomon követni a beszállítói javítási ciklusokat és az Ön által futtatott verziókat.