PT-2025-51257 · Frappe · Erpnext

An Chu + 1 · Publicado 2025-12-15 · Atualizado 2025-12-23 · CVE-2025-66436

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Frappe ERPNext até a 15.89.0

Descrição Existe uma vulnerabilidade de SSTI (Injeção de Template no Lado do Servidor) no método get terms and conditions. A função renderiza templates Jinja2 controlados pelo invasor (terms) utilizando frappe.render template() com um contexto fornecido pelo usuário (doc). Embora um SandboxedEnvironment personalizado seja utilizado, globais perigosos como frappe.db.sql permanecem acessíveis através de get safe globals(). Um invasor autenticado que possa criar ou modificar documentos de Termos e Condições pode injetar expressões Jinja arbitrárias no campo terms, resultando na execução de código no lado do servidor dentro de um contexto limitado. Isso pode permitir o vazamento de informações do banco de dados.

Recomendações Versões anteriores a 15.89.0 são afetadas. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

SSRF

Code Injection

Enumeração de Fraquezas

CWE-1336

CWE-918

CWE-94

Identificadores relacionados

CVE-2025-66436

Produtos afetados

Erpnext

Referências · 7

• 🔥 https://iamanc.github.io/post/erpnext-ssti-bug-3 · Exploit
• 🔥 https://notion.so/SSTI-bug-3-239e6086eadc8020aeecdaf123e32f3d?source=copy_link · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2025-66436 · Nota de Segurança
• https://t.me/CVEtracker/39860 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2002857398978175248 · Publicação no Twitter
• https://t.me/cveNotify/146687 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-66436 · Aviso do Fabricante