Veille CVE

‹ Retour à la liste

CVE-2026-109653

7.3 Élevée

Publiée le 13/10/2026 à 01:17 · Modifiée le 13/10/2026 à 19:17 · Analyse NVD reportée · Source : disclosure@vulncheck.com

Description

Frappe ERPNext before 15.119.0 and 16.x before 16.31.0 contains a stored cross-site scripting vulnerability because record fields are rendered into an HTML attribute context without escaping. A low-privilege user can store a malicious payload in a record field that executes in the browser of any privileged user who opens the affected page, enabling account takeover.

Traduire en français

Produits concernés

Scores CVSS

VersionScoreSourceVecteur
4.0 8.5 Élevée disclosure@vulncheck.com CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
3.1 7.3 Élevée disclosure@vulncheck.com CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N

Faiblesses (CWE)

Références

Ailleurs