PT-2026-31332 · Unknown+1 · Frappe Framework+1

Publicado 2026-04-08 · Atualizado 2026-04-13 · CVE-2026-31017

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Name of the Vulnerable Software and Affected Versions ERPNext versão 16.0.1 Frappe Framework versão 16.1.1

Description Uma vulnerabilidade de Server-Side Request Forgery (SSRF) existe na funcionalidade Print Format. A sanitização insuficiente de HTML fornecido pelo usuário antes da renderização em PDF permite que invasores incluam elementos HTML como <iframe> que referenciam recursos externos. O mecanismo de renderização de PDF busca esses recursos no lado do servidor, permitindo que invasores forcem o servidor a fazer solicitações HTTP arbitrárias para serviços internos, potencialmente divulgando informações confidenciais, incluindo endpoints de metadados de nuvem.

Recommendations Atualize o ERPNext para uma versão mais recente que contenha uma correção para esta vulnerabilidade. Atualize o Frappe Framework para uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-31017

Produtos afetados

Erpnext

Frappe Framework

Referências · 5

• 🔥 https://github.com/PhDg1410/CVE/tree/main/CVE-2026-31017 · Exploit
• https://twitter.com/CVEnew/status/2043733108718219456 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2041949907234214211 · Publicação no Twitter
• http://frappe.com · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-31017 · Nota de Segurança