Frappe ERPNext'te Sunucu Tarafı Şablon Enjeksiyonu (CVSS 8.8)
Yapay zeka üretimi16.10.2026
- CVE
- CVE-2026-109652
- Ciddiyet
- Yüksek (CVSS 8.8)
- Firma / ürün
- - / -
Özet
Frappe ERPNext'in 15.119.1 ve 16.32.0 öncesi sürümlerinde, kullanıcı kontrolündeki mesaj alanları doğrulanmadığı için sunucu tarafı şablon enjeksiyonu gerçekleşebiliyor.
Ayrıntılar
NVD kaydına göre, Frappe ERPNext'in 15.119.1 öncesi ve 16.x sürümlerinde 16.32.0 öncesi sürümlerde sunucu tarafı şablon enjeksiyonu (SSTI) açığı bulunuyor. Yetkili bir saldırgan, mesaj alanına şablon ifadeleri ekleyerek veritabanından rastgele veri okuyup yazabilir, belgeleri silebilir, sunucudan dışarıya istek gönderebilir ve site üzerinden e-posta gönderebilir. Açığın ciddiyeti yüksek (CVSS 8.8) olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, güncelleme yayımlandığında en kısa sürede uygulayın ve sisteme erişimi mümkün olduğunca sınırlı tutun.