CVE-2026-109673
Beschrijving NL
Frappe ERPNext vóór 15.103.0 en 16.x vóór 16.12.0 bevat een opgeslagen kwetsbaarheid voor cross-site scripting omdat de namen van bepaalde records niet goed worden geneutraliseerd wanneer ze worden weergegeven op sommige dashboards, tools en portals. Geverifieerde aanvallers kunnen kwaadaardige recordnamen maken die scripts uitvoeren in de browsers van andere gebruikers, waardoor gegevenstoegang, wijziging en tokendiefstal mogelijk worden, vooral tegen bevoorrechte gebruikers.
Origineel (Engels) tonen
Frappe ERPNext before 15.103.0 and 16.x before 16.12.0 contains a stored cross-site scripting vulnerability because the names of certain records are not properly neutralized when rendered on some dashboards, tools, and portals. Authenticated attackers can craft malicious record names that execute scripts in other users' browsers, enabling data access, modification, and token theft, especially against privileged users.