CVE-2026-44446: SQL Injection em ERPNext
Plataforma
php
Componente
erpnext
Corrigido em
16.14.0
O ERPNext, uma ferramenta de planejamento de recursos empresariais (ERP) de código aberto, apresenta uma vulnerabilidade de SQL Injection. Essa falha permite que um atacante execute consultas SQL arbitrárias, potencialmente extraindo informações sensíveis do banco de dados. A vulnerabilidade afeta versões entre 16.0.0-beta.1 (exclusiva) e < 16.14.0 e foi corrigida nas versões 15.104.3 e 16.14.0.
Impacto e Cenários de Ataque
Um atacante explorando esta vulnerabilidade pode obter acesso não autorizado a dados confidenciais armazenados no banco de dados do ERPNext, como informações financeiras, dados de clientes, informações de funcionários e segredos comerciais. A extração de dados pode levar a roubo de identidade, fraude financeira e comprometimento da reputação da empresa. Além disso, dependendo das permissões do usuário associado à consulta SQL injetada, o atacante pode ser capaz de modificar ou excluir dados no banco de dados, causando interrupção significativa das operações de negócios.
Contexto de Exploração
A vulnerabilidade foi publicada em 2026-05-13. A probabilidade de exploração é considerada média, pois requer algum conhecimento técnico para criar requisições SQL injetadas. Não há informações disponíveis sobre campanhas de exploração ativas ou a inclusão em listas como KEV ou EPSS no momento da publicação.
Inteligência de Ameaças
Status do Exploit
Vetor CVSS
O que significam essas métricas?
- Attack Vector
- Rede — explorável remotamente pela internet. Sem acesso físico ou local necessário.
- Attack Complexity
- Baixa — sem condições especiais. O atacante pode explorar de forma confiável.
- Privileges Required
- Baixo — qualquer conta de usuário válida é suficiente.
- User Interaction
- Nenhuma — ataque automático e silencioso. A vítima não faz nada.
- Scope
- Inalterado — impacto limitado ao componente vulnerável.
- Confidentiality
- Alto — perda total de confidencialidade. O atacante pode ler todos os dados.
- Integrity
- Alto — o atacante pode escrever, modificar ou excluir qualquer dado.
- Availability
- Alto — falha completa ou esgotamento de recursos. Negação de serviço total.
Software Afetado
Classificação de Fraqueza (CWE)
Linha do tempo
- Reservado
- Publicada
Mitigação e Soluções Alternativas
A mitigação primária é atualizar o ERPNext para a versão 15.104.3 ou 16.14.0 ou superior. Se a atualização imediata não for possível, implemente medidas de segurança adicionais, como restringir o acesso a endpoints vulneráveis, usar firewalls de aplicação web (WAF) para filtrar tráfego malicioso e realizar auditorias de segurança regulares para identificar e corrigir outras possíveis vulnerabilidades. Verifique se as consultas ao banco de dados estão devidamente parametrizadas para evitar a injeção de SQL.
Como corrigirtraduzindo…
Actualice ERPNext a la versión 15.104.3 o 16.14.0 para mitigar la vulnerabilidad de inyección SQL. Asegúrese de realizar una copia de seguridad de su base de datos antes de aplicar la actualización. Verifique la documentación oficial de ERPNext para obtener instrucciones detalladas sobre el proceso de actualización.
Perguntas frequentes
O que é CVE-2026-44446 — SQL Injection no ERPNext?
CVE-2026-44446 é uma vulnerabilidade de SQL Injection no ERPNext, permitindo que um atacante execute consultas SQL maliciosas e extraia dados sensíveis.
Estou afetado pelo CVE-2026-44446 no ERPNext?
Se você estiver usando uma versão do ERPNext entre 16.0.0-beta.1 (exclusiva) e < 16.14.0, você está afetado por esta vulnerabilidade. Atualize para a versão 15.104.3 ou 16.14.0 ou superior.
Como corrigir CVE-2026-44446 no ERPNext?
A correção é atualizar o ERPNext para a versão 15.104.3 ou 16.14.0 ou superior. Implemente medidas de segurança adicionais, como WAFs e auditorias regulares.
CVE-2026-44446 está sendo ativamente explorado?
Não há informações disponíveis sobre exploração ativa no momento da publicação, mas a vulnerabilidade representa um risco significativo.
Onde posso encontrar o aviso oficial do ERPNext para CVE-2026-44446?
Consulte o site oficial do ERPNext para obter o aviso de segurança e informações adicionais: [https://erpnext.com/](https://erpnext.com/)
Seu projeto está afetado?
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Experimente agora — sem conta
Faça upload de qualquer manifesto (composer.lock, package-lock.json, lista de plugins WordPress…) ou cole sua lista de componentes. Receba um relatório de vulnerabilidades instantaneamente. Fazer upload de um arquivo é só o começo: com uma conta, você obtém monitoramento contínuo, alertas por Slack/email, relatórios multiprojeto e white-label.
Arraste e solte seu arquivo de dependências
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...