Exposição de ERPNext

CMS
131
score de exposição
356
sites usam
0
em exploração
4
críticos
Análise Vexday

O histórico de vulnerabilidades do ERPNext reúne 17 CVEs catalogadas, com 2 classificadas como críticas e nenhuma registrada no catálogo CISA KEV, situando a plataforma abaixo da média geral de exploração ativa do catálogo. O dado que merece atenção imediata é a concentração de 9 vulnerabilidades surgidas nos últimos 90 dias, sinalizando aumento recente na superfície de risco. O tipo de falha predominante é CWE-89 (SQL Injection), padrão que historicamente favorece acesso não autorizado a dados e comprometimento de banco de dados, sendo representado pela CVE-2020-6145, apontada como a mais perigosa atualmente ativa, com EPSS de 0,018. Embora as probabilidades de exploração observadas sejam baixas no momento, a combinação de falhas de injeção SQL e o volume elevado de CVEs recentes recomenda atenção prioritária em processos de atualização e revisão de controles de acesso ao banco de dados.

CVEs

100 resultados
CVE-2026-109604HIGHERPNext before 15.112.0 Stored XSS via Tool View Record NamesEPSS 0.2%CVE-2026-109671HIGHFrappe ERPNext before 15.113.0 Stored XSS via Profile Field in Portal PagesEPSS 0.2%CVE-2026-109662MEDIUMFrappe ERPNext before 15.112.0 Stored XSS via Public Portal FormEPSS 0.2%CVE-2026-109630MEDIUMFrappe ERPNext before 15.121.0 Missing Authorization in EndpointsEPSS 0.2%CVE-2026-109642MEDIUMFrappe ERPNext before 15.110.0 Missing Authorization in Certain EndpointsEPSS 0.2%CVE-2026-109651MEDIUMFrappe ERPNext before 15.112.0 Server-Side Request Forgery via Configuration FieldEPSS 0.2%CVE-2026-55242HIGHERPNext: Server-Side Template Injection (SSTI) in Batch autonaming via Stock Settings.naming_series_prefixEPSS 0.2%CVE-2026-109622MEDIUMFrappe ERPNext before 15.121.0 Unauthorized Document Modification via Missing AuthorizationEPSS 0.2%CVE-2026-109665MEDIUMFrappe ERPNext before 15.108.0 Missing Authorization Allows Master Record DeactivationEPSS 0.2%CVE-2026-109664MEDIUMFrappe ERPNext before 15.112.0 Missing Authorization Allows Arbitrary Record ModificationEPSS 0.2%CVE-2026-109668MEDIUMFrappe ERPNext before 15.110.0 Missing Authorization in Party Record EndpointsEPSS 0.2%CVE-2026-109629MEDIUMFrappe ERPNext before 15.121.3 Missing Authorization in Transactional Email EndpointEPSS 0.2%CVE-2026-109635MEDIUMFrappe ERPNext before 15.105.0 Missing Authorization in Document Creation EndpointsEPSS 0.2%CVE-2026-109611MEDIUMFrappe ERPNext before 15.121.0 Missing Authorization in Certain EndpointsEPSS 0.2%CVE-2026-109623MEDIUMFrappe ERPNext before 15.121.1 Unauthorized Document Modification via Missing AuthorizationEPSS 0.2%CVE-2026-109654MEDIUMFrappe ERPNext before 15.119.0 Missing Authorization in Transactional Email EndpointsEPSS 0.2%CVE-2026-109670MEDIUMFrappe ERPNext before 15.110.0 Stored XSS via Item Record NameEPSS 0.2%CVE-2026-109657MEDIUMFrappe ERPNext 16.x before 16.27.0 Stored XSS via Unescaped Record NameEPSS 0.2%CVE-2026-44441MEDIUMERPNext: Possible SSRF by any authenticated userEPSS 0.2%CVE-2026-44448MEDIUMERPNext: Unauthorised Document modification due to missing validationEPSS 0.1%