PT-2026-46043 · Frappe · Erpnext

Oscar Naveda · CVE-2026-42839 · Publicado 2026-06-03 · Atualizado 2026-07-22

Positive Technologies (AI Summary) · Pt

CVSS v4.0

4.8

Média

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:P/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas ERPNext versão 16.16.0

Description Um usuário autenticado com permissões para editar registros de Itens pode injetar HTML ou JavaScript arbitrário nos campos item name, description ou image de um Item. Isso resulta em renderização não escapada na interface do carrinho do Ponto de Venda (POS) para qualquer operador que adicione o item afetado a uma transação.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-42839

Produtos afetados

Erpnext

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/42xxx/CVE-2026-42839.json · Exploit
• https://github.com/frappe/erpnext · Nota
• https://twitter.com/infoflowcloud/status/2062405543222771717 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2062404849602572603 · Publicação no Twitter
• https://twitter.com/fluidattacks/status/2066650709286941179 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-42839 · Nota de Segurança
• https://t.me/cveNotify/213300 · Publicação no Telegram
• https://fluidattacks.com/es/advisories/pink · Nota
• https://osv.dev/vulnerability/CVE-2026-42839 · Aviso do Fabricante