ERPNext - 12.29.0

ERPNext 12.29.0の「My Setting」ページにある「last_known_version」フィールドに保存型クロスサイトスクリプティング（XSS）の脆弱性が存在します。リモートの攻撃者は、認証済みのPOST HTTPリクエストを「/desk#Form/User/(認証ユーザー)」に送信し、細工したサイト名を使用して任意のWebスクリプトまたはHTMLを注入できます。スクリプトは「last_known_version」フィールドに注入され、「pdf」表示フォームをクリックすることで確認できます。

この脆弱性は特に「My Settings」内の「last_known_version」フィールドに存在し、最初にマイ設定を保存する必要があります。

「last_known_version」フィールドに悪意のあるスクリプトを注入します。

注入したスクリプトを表示するには、pdfページの表示をクリックします。下記のように、スクリプトの注入に成功しています。

著者:
Patrick Dean Ramos
Nathu Nandwani
Junnair Manla