SQL injection v ERPNext od Frappe

Podle INCIBE se jedná o zranitelnost vysoké závažnosti (CVE-2026-12895, CVSS 7.1) v systému ERPNext společnosti Frappe. Zdroj uvádí, že aplikace konstruuje SQL dotazy přímou interpolací řetězců bez parametrizovaných dotazů, což umožňuje ověřenému uživateli s nižšími právy provádět libovolné SQL dotazy, obcházet kontroly přístupu a extrahovat citlivá data včetně hashů hesel a přihlašovacích údajů. Frappe vydala opravné verze 15.111.0 a 16.22.0.

Číst originál na INCIBE-CERT → originál: Inyección SQL en ERPNext de Frappe

CZ · EN/orig

Frappe výroba a průmysl ES

CVE v události 1

CVE	hodnocení	KEV	EPSS
CVE-2026-12895	7.1 4.0 · INCIBE	–	0.00

Hodnocení z katalogů, všechna, se stupnicí CVSS a vydavatelem. Rozpad vektoru je na stránce CVE. Advisory v textu uvádí CVSS 7.1.

Nadpisy a shrnutí 1 zprávy generovány strojově za 0,0033 USD.