PT-2026-46044 · Frappe · Erpnext

Oscar Naveda · Publicado 2026-06-03 · Atualizado 2026-06-16 · CVE-2026-42840

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.1

Média

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:P/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas ERPNext versão 16.16.0

Descrição Um usuário autenticado pode persistir HTML ou JavaScript arbitrário nos campos email id ou mobile no de um registro de Cliente. Isso resulta em renderização não escapada na interface do Point of Sale (POS) para cada operador que selecionar o cliente afetado.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-42840

Produtos afetados

Erpnext

Referências · 6

• 🔥 https://fluidattacks.com/es/advisories/weeknd · Exploit
• https://github.com/frappe/erpnext · Nota
• https://twitter.com/infoflowcloud/status/2062405559744102702 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-42840 · Nota de Segurança
• https://twitter.com/fluidattacks/status/2067007308757135644 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2062404850860818713 · Publicação no Twitter