Frappe ERPNext: szerveroldali sablon-injektálás az üzenetmezőkben – hitelesített felhasználók adatokat olvashatnak és írhatnak (CVE-2026-109652)

Mi történt

Az ERPNext nem ellenőrzi a felhasználó által befolyásolható üzenetmezőket, mielőtt azokat átadná a sablonmotornak. Az a támadó, aki általános üzemeltetési szerepkörrel képes hitelesíteni, és aki ezeket a mezőket meg tudja adni vagy befolyásolni, szerveroldali sablonkifejezéseket illeszthet be. A kifejezések korlátozások nélküli környezetben futnak, így a támadó tetszőleges adatbázisadatokat olvashat és írhat, dokumentumokat törölhet, a szervert kimenő kérések indítására késztetheti, és a webhelyről e-maileket küldhet.

A CVSS 4.0 pontszám 8,7, ami magas besorolás: a támadási vektor a hálózat, a támadás bonyolultsága alacsony, a támadónak csupán alacsony jogosultságra van szüksége, felhasználói interakcióra nincs szükség, és az ERPNext rendszer bizalmasságára, sértetlenségére és rendelkezésre állására gyakorolt hatás magas. A biztonsági közlemény forrásai nem utalnak arra, hogy a sérülékenységet a gyakorlatban már aktívan kihasználták volna.

Kit érint

Az ERPNext 15.119.1 előtti kiadásai érintettek. A 16.x sorozat a 16.0.0-beta.1 verziótól a 16.32.0 előtti verziókig érintett. A sérülékenység az ERPNext terméket érinti, és egy általános üzemeltetési szerepkörrel rendelkező, hitelesített felhasználó számára érhető el.

Mit kell most tenni

1. Ellenőrizze, hogy a telepített ERPNext-kiadás 15.x esetén a 15.119.1 előtti, 16.x esetén pedig a 16.32.0 előtti verzió-e.
2. Ha a 15.x sorozatot használja, frissítsen az ERPNext 15.119.1 verzióra; ha a 16.x sorozatot használja, frissítsen az ERPNext 16.32.0 verzióra. Ezek a javított kiadások.
3. A biztonsági közlemény nem ismertet kerülő megoldást. Amíg nem tud frissíteni, korlátozza, hogy mely fiókok használhatják az érintett üzenetmezőket vagy sablonokat, és figyelje az alább felsorolt tevékenységeket.
4. A frissítés után tekintse át a naplókat nem várt adatbázis-változások, az ERPNext-szerverről indított kimenő kérések vagy szokatlan e-mail-forgalom szempontjából.

Hogyan észlelhető

A biztonsági közlemény nem tesz közzé a gyártó által meghatározott, kompromittálódásra utaló jeleket. A leírt képességek alapján figyelje az ERPNext-szerverről indított, nem várt kimenő HTTP- vagy egyéb kéréseket, a webhely által küldött szokatlan e-maileket, valamint az alacsony jogosultságú fiókok által végrehajtott dokumentum-módosításokat vagy -törléseket.

A javításon túl

Ez a hiba legalább annyira javításiciklus-probléma, mint kódhiba: egy alacsony jogosultságú ERPNext-fiók széles körű adatbázis- és e-mail-hozzáférést jelenthet mindaddig, amíg a javított verziókat nem telepítik. Az Ellátási lánc védelem és a harmadik felekkel kapcsolatos kockázat segít nyomon követni, hogy mely szállítók szoftvereit futtatja, és milyen gyorsan jelennek meg a javítások. Ha az Ön ERPNext-példánya az internetről elérhető vagy nyilvános, a Bevezetési és felmérési szolgáltatások segíthetnek annak vizsgálatában, hogy a példány és az üzenetmezők kezelése elérhető-e a frissítés előtt és után.