یک آسیب‌پذیری امنیتی با شناسه CVE-2026-96672 در نرم‌افزار Frappe ERPNext شناسایی شده است که نسخه‌های پیش از 16.34.1 را تحت تأثیر قرار می‌دهد.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در بخش اعتبارسنجی مقادیر calculation_formula در قالب‌های گزارشات مالی (Financial Report Template) رخ می‌دهد. سیستم در این نسخه‌ها نمی‌تواند بررسی کند که آیا متدهای مورد ارجاع در فرمول‌های محاسباتی در لیست سفید (Whitelist) قرار دارند یا خیر، پیش از آنکه این مقادیر به تابع frappe.call() ارسال شوند.
تاثیر و ریسک
کاربرانی با دسترسی Accounts Manager می‌توانند با سوءاستفاده از این نقص، مسیرهای دلخواه پایتون (Arbitrary dotted Python paths) را ارسال کرده و متدهای داخلی سمت سرور که در لیست سفید نیستند را فراخوانی کنند. این امر منجر به امکان خواندن مقادیر بازگشتی (Return values) از متدهای حساس داخلی می‌شود که می‌تواند منجر به نشت اطلاعات یا اجرای عملیات غیرمجاز در محیط سرور گردد.
راهکار اصلاحی
- به‌روزرسانی سریع سیستم به نسخه 16.34.1 یا نسخه‌های جدیدتر.
- بازبینی دسترسی‌های کاربران در سطح
Accounts Managerبرای کاهش سطح حمله (Attack Surface).
