PT-2025-51252 · Frappe · Erpnext

An Chu + 1 · Publicado 2025-12-15 · Atualizado 2025-12-15 · CVE-2025-66434

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Frappe ERPNext até a 15.89.0

Descrição Existe uma vulnerabilidade de Injeção de Template no Lado do Servidor (SSTI) no método get dunning letter text. A função renderiza templates Jinja2 ()body text) usando frappe.render template() com um contexto fornecido pelo usuário ()doc). Apesar do uso de um SandboxedEnvironment, variáveis globais perigosas como frappe.db.sql permanecem acessíveis através de get safe globals(). Um atacante autenticado que possa configurar o Dunning Type e sua tabela filha Dunning Letter Text pode injetar expressões Jinja, potencialmente levando à execução de código no lado do servidor em um contexto limitado e à divulgação de informações do banco de dados.

Recomendações Versões anteriores à 15.89.0 devem ser atualizadas.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-1336

CWE-94

Identificadores relacionados

CVE-2025-66434

Produtos afetados

Erpnext

Referências · 7

• 🔥 https://iamanc.github.io/post/erpnext-ssti-bug-1 · Exploit
• 🔥 https://notion.so/SSTI-bug-1-239e6086eadc8096bfcfe90551a3a483?source=copy_link · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2025-66434 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2000656191387574344 · Publicação no Twitter
• https://t.me/CVEtracker/39857 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2000617524593897782 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-66434 · Aviso do Fabricante