PT-2025-40354 · Erpnext · Erpnext

Moalali · Publicado 2025-10-02 · Atualizado 2025-10-02 · CVE-2025-56381

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas ERPNEXT versão 15.67.0

Descrição O software contém múltiplas falhas de injeção de SQL no endpoint da API /api/method/frappe.desk.reportview.get. Os parâmetros order by e group by são suscetíveis à exploração.

Recomendações Aplique atualizações para corrigir as falhas de injeção de SQL identificadas no endpoint /api/method/frappe.desk.reportview.get. Evite usar os parâmetros order by e group by no endpoint /api/method/frappe.desk.reportview.get até que uma correção esteja disponível.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-56381

Produtos afetados

Erpnext

Referências · 5

• 🔥 https://github.com/MoAlali/CVE-2025-56381 · Exploit
• https://osv.dev/vulnerability/CVE-2025-56381 · Aviso do Fabricante
• https://github.com/MoAlali · Nota
• https://twitter.com/CVEnew/status/1973758739011498259 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-56381 · Nota de Segurança