CVE-2022-28598

ERPNext - 12.29.0 ERPNext 12.29.0の「My Setting」ページにある「lastknownversion」フィールドに保存型クロスサイトスクリプティング（XSS）の脆弱性が存在します。リモートの攻撃者は、認証済みのPOST HTTPリクエストを「/deskForm/User/認証ユーザー」に送信し、細工したサイト名を使用して任意のWebスクリプトまたはHTMLを注入できます。スクリプトは「lastknownversion」フィールドに注入され、「pdf」表示フォームをクリックすることで確認できます。 この脆弱性は特に「My...