Tárolt XSS a Frappe ERPNext jelentésnézetében: hitelesített felhasználók szkriptet futtathatnak (CVE-2026-109612)

Mi történt

Az ERPNext jelentésnézete a tárolt rekordneveket megfelelő HTML-kódolás nélkül illeszti be az oldal HTML-kódjába. A rekordok létrehozására jogosult, hitelesített felhasználó olyan speciálisan kialakított nevet menthet el, amely szkriptet tartalmaz. Ha később egy másik felhasználó megnyitja az adott jelentésnézetet, a szkript az ő ERPNext-munkamenetében fut le.

A hiba a hálózaton keresztül elérhető. A támadónak mindössze egy alacsony jogosultságú fiókra van szüksége; a kód futtatásához elegendő, ha az áldozat a szokásos módon megnyit egy jelentést. A CVSS 4.0-s alappontszám 8,5, ami magas besorolásnak számít; az áldozat munkamenetében a bizalmasságra és a sértetlenségre gyakorolt hatás magas, a rendelkezésre állásra gyakorolt hatás pedig nincs.

A hibának nincs bejelentett kihasználása, és a CISA Known Exploited Vulnerabilities katalógusa nem tartalmazza a hibát.

Kit érint

Érintettek az ERPNext 15.120.0 előtti verziói. A 16.x sorozat a 16.0.0-beta.1 verziótól a 16.33.0 verzió előtti kiadásokig érintett. Az ERPNext vállalatierőforrás-tervező alkalmazás; az érintett funkció a jelentésnézet, amelyet a hitelesített felhasználók a mindennapi munka során nyitnak meg.

Mit kell most tenni

A biztonsági közlemény nem tartalmaz gyártói kerülő megoldást.

1. Frissítse az ERPNextet javított kiadásra: a 15.120.0 előtti verziók esetében a 15.120.0 verzióra, a 16.x sorozat esetében pedig a 16.33.0 verzióra.
2. Ellenőrizze, hogy minden kapcsolódó példány frissült-e, beleértve az előkészítő (staging) és a fejlesztői környezeteket is.
3. Amíg nem telepíti a frissítést, korlátozza a rekordlétrehozási jogosultságot azoknál a felhasználóknál, akiknek nincs rá szükségük, mivel a hiba gyökere a speciálisan kialakított rekordnevekben tárolt bemenet.

A javításon túl

A közvetlen frissítésen túl ez függőségi probléma is: az ERPNext gyártói szoftver, és a kitettséget az határozza meg, milyen gyorsan érkezik hozzá a biztonsági javítás. Annak nyomon követése, hogy milyen alkalmazásokat futtat, és azok karbantartói milyen gyorsan javítják a tárolt XSS-hibákat, az ellátásilánc-kockázatkezelés része; ezzel az Ellátási lánc védelem és a harmadik felekkel kapcsolatos kockázatok foglalkozik. Ha az ERPNext-példánya böngészőből elérhető, vagy partnerekkel közösen használt, a Bevezetési és felmérési szolgáltatások keretében penetrációs teszt és a jelentésnézetek, valamint a hasonló tárolt bemeneti útvonalak kikeményítési felülvizsgálata végezhető el, mielőtt a következő hibát kihasználnák.