anonhaven
Ad

CVE-2026-109653

HIGH CVSS 4.0: 8,5 EPSS 0.21%
Обновлено 13 октября 2026
Payload
Параметр Значение
CVSS 8,5 (HIGH)
Уязвимые версии до 15.119.0
Тип уязвимости CWE-79 (Межсайтовый скриптинг (XSS))
Поставщик Payload
Публичный эксплойт Нет

Frappe ERPNext before 15.119.0 and 16.x before 16.31.0 contains a stored cross-site scripting vulnerability because record fields are rendered into an HTML attribute context without escaping. A low-privilege user can store a malicious payload in a record field that executes in the browser of any privileged user who opens the affected page, enabling account takeover.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Пассивное
Минимальное взаимодействие

Последствия

Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы

Строка CVSS v4.0

Тип уязвимости (CWE)

CWE-79 Cross-Site Scripting (XSS) (Межсайтовый скриптинг (XSS))

Ссылки 2

https://github.com/frappe/erpnext/security/advisories/GHSA-8pr6-r75h-h8xx
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/frappe-erpnext-before-15.119.0-stored-xss-…
disclosure@vulncheck.com
Share Post Share Share Share

Связанные уязвимости

CVE-2026-115892

Payload

5,7

CVE-2026-112333

Payload

5,1

CVE-2026-93638

Payload

6,1

CVE-2026-57144

Payload

8,8

CVE-2026-59188

Payload

5,4