Moalali

**Nome do Software Vulnerável e Versões Afetadas** ERPNEXT versão 15.67.0 **Descrição** Existe uma vulnerabilidade de cross-site scripting (XSS) armazenado na funcionalidade de postagem de blog. Um atacante pode injetar um payload elaborado no campo de conteúdo, potencialmente levando à execução de scripts web ou HTML arbitrários. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Frappe Framework versão 15.72.4 **Descrição** Existe uma vulnerabilidade de injeção de SQL no Frappe Framework. O problema está localizado no parâmetro `fieldname` do endpoint da API `frappe.client.get value`. Um script manipulado fornecido ao parâmetro `fieldname` pode explorar essa vulnerabilidade. **Recomendações** Aplique uma correção para o Frappe Framework versão 15.72.4 para resolver a vulnerabilidade de injeção de SQL no endpoint da API `frappe.client.get value`. Como solução temporária, restrinja o acesso ao endpoint da API `frappe.client.get value` ou sanitize o parâmetro `fieldname` para prevenir ataques de injeção de SQL.

**Nome do Software Vulnerável e Versões Afetadas** ERPNEXT versão 15.67.0 **Descrição** O software contém múltiplas falhas de injeção de SQL no endpoint da API `/api/method/frappe.desk.reportview.get`. Os parâmetros `order by` e `group by` são suscetíveis à exploração. **Recomendações** Aplique atualizações para corrigir as falhas de injeção de SQL identificadas no endpoint `/api/method/frappe.desk.reportview.get`. Evite usar os parâmetros `order by` e `group by` no endpoint `/api/method/frappe.desk.reportview.get` até que uma correção esteja disponível.