CVE-2022-28598

ERPNext - 12.29.0 在 ERPNext 12.29.0 的“我的设置”（My Setting）页面中，“lastknownversion”字段存在存储型跨站脚本（XSS）漏洞。远程攻击者可通过构造站点名称，并向 '/deskForm/User/Authenticated User' 发送经过身份验证的 POST HTTP 请求，从而注入任意 Web 脚本或 HTML，并将脚本注入“lastknownversion”字段中，之后我们可通过点击“pdf”视图表单查看该脚本。 此漏洞特指“我的设置”（My...