CVE-2026-38431

9.8 Critique

Publiée le 05/05/2026 à 19:17 · Modifiée le 24/07/2026 à 23:10 · Analysée par le NVD · Source : cve@mitre.org

Description

ERPNext v15.103.1 and before is vulnerable to Server-Side Template Injection (SSTI). An attacker with permission to create or edit email templates can inject template expressions that are executed on the server when the template is rendered.

Traduire en français

Produits concernés

Frappe erpnext

Scores CVSS

Version	Score	Source	Vecteur
3.1	9.8 Critique	134c704f-9b21-4f2e-91b3-4a467353bcc0	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`

Faiblesses (CWE)

CWE-94

Références

https://c0wking.hashnode.dev/ssti-in-erpnext-frappe-email-template-engine ExploitThird Party Advisory
https://c0wking.hashnode.dev/ssti-in-erpnext-frappe-email-template-engine ExploitThird Party Advisory

Ailleurs

NVD
CVE.org
CIRCL Vulnerability-Lookup
CERT-FR
GitHub Advisories