Poważna luka w ERPNext umożliwia dostęp do poufnych danych finansowych innych firm. Zagrożone systemy ERP obsługujące sprzedaż internetową

31 października 2026 roku opublikowano oficjalne ostrzeżenie bezpieczeństwa dotyczące systemu ERPNext. Wykryta podatność pozwala zalogowanemu użytkownikowi z ograniczonymi uprawnieniami uzyskać nieautoryzowany dostęp do poufnych danych finansowych, podatkowych i płatniczych, również należących do innych przedsiębiorstw obsługiwanych w tym samym środowisku. Luka otrzymała ocenę CVSS 7,7/10, co oznacza wysoki poziom zagrożenia.

Problem jest szczególnie istotny dla firm wykorzystujących ERPNext do obsługi zamówień, rozliczeń, magazynów i integracji ze sklepami internetowymi. Producent potwierdził, że skuteczne usunięcie podatności wymaga aktualizacji oprogramowania. Nie udostępniono alternatywnego obejścia problemu.

Na czym polega podatność GHSA-g7r2-v98g-6wcr?

ERPNext jest systemem klasy ERP rozwijanym w ramach ekosystemu Frappe. Umożliwia zarządzanie sprzedażą, finansami, fakturowaniem, magazynem, zakupami i relacjami z klientami. Może również współpracować z zewnętrznymi platformami e-commerce, zapewniając centralną obsługę procesów biznesowych.

W części mechanizmów generowania raportów finansowych wykryto brak odpowiedniej weryfikacji uprawnień użytkownika. Oznacza to, że system nie zawsze sprawdzał, czy osoba żądająca wygenerowania raportu rzeczywiście posiada uprawnienia do zawartych w nim informacji.

Podatność została sklasyfikowana jako CWE-862, czyli Missing Authorization — brak wymaganej kontroli autoryzacji.

Według oficjalnego ostrzeżenia możliwy scenariusz wykorzystania wygląda następująco:

1. Napastnik posiada aktywne konto użytkownika ERPNext z ograniczonymi uprawnieniami.
2. Wysyła odpowiednio przygotowane żądanie do jednego z podatnych mechanizmów raportowania finansowego.
3. System generuje raport bez prawidłowego sprawdzenia zakresu dostępu użytkownika.
4. Napastnik otrzymuje informacje finansowe, do których nie powinien mieć dostępu, w tym potencjalnie dane innych firm obsługiwanych w tym samym środowisku.

Do wykorzystania podatności nie jest wymagane konto administratora ani interakcja ze strony osoby, której dane są odczytywane. Konieczne jest natomiast wcześniejsze uwierzytelnienie w systemie.

Producent potwierdził możliwość nieautoryzowanego odczytu informacji. Opisana luka nie umożliwia bezpośrednio modyfikowania dokumentów finansowych ani przejmowania uprawnień administratora.

Jakie dane przedsiębiorstw mogą zostać ujawnione?

W oficjalnym opisie wskazano, że zagrożenie obejmuje poufne informacje podatkowe i płatnicze, identyfikatory osób oraz przedsiębiorstw, a także wartości finansowe zawarte w raportach.

Potencjalnie narażone są zatem dane wykorzystywane w rozliczeniach i analizach finansowych przedsiębiorstwa. Szczególnie niebezpieczna może być sytuacja, w której jedno środowisko ERPNext obsługuje kilka spółek lub jednostek biznesowych, a użytkownicy powinni mieć dostęp wyłącznie do dokumentów przypisanych do określonej firmy.

W takich instalacjach luka może prowadzić do naruszenia poufności danych pomiędzy organizacjami lub obszarami o odrębnych uprawnieniach.

Nie oznacza to jednak, że każdy użytkownik ERPNext automatycznie uzyskuje dostęp do wszystkich informacji finansowych. Rzeczywisty zakres zagrożenia zależy między innymi od konfiguracji środowiska, dostępnych danych i uprawnień konta wykorzystywanego do przeprowadzenia ataku.

Dlaczego problem jest istotny dla sklepów internetowych?

ERPNext może stanowić zaplecze operacyjne przedsiębiorstwa prowadzącego sprzedaż online. W takim modelu sklep internetowy obsługuje proces zakupowy klienta, natomiast system ERP odpowiada za dalsze przetwarzanie zamówień, fakturowanie, stany magazynowe i rozliczenia.

W zależności od wdrożenia ERPNext może również przechowywać dane dotyczące płatności, kontrahentów, dokumentów księgowych i wyników finansowych sprzedaży internetowej.

Nieautoryzowany dostęp do raportów finansowych może więc naruszać poufność informacji wykorzystywanych w działalności e-commerce, nawet jeżeli sama platforma sprzedażowa nie zawiera żadnej podatności.

Dotyczy to również przedsiębiorstw prowadzących kilka marek lub sklepy internetowe na różnych rynkach, jeżeli ich operacje finansowe są obsługiwane przez wspólne środowisko ERPNext.

Należy jednak wyraźnie rozróżnić zagrożenie dla systemu ERP od zagrożenia dla strony sklepu. Opisana podatność nie oznacza możliwości przejęcia koszyka, ingerowania w checkout ani odczytywania danych kart płatniczych bezpośrednio z bramki płatniczej.

Które wersje ERPNext są podatne?

Podatność otrzymała identyfikator GHSA-g7r2-v98g-6wcr. Na dzień 1 listopada 2026 roku nie przypisano jej numeru CVE.

Zgodnie z oficjalnym komunikatem bezpieczeństwa problem występuje w następujących wersjach:

• ERPNext 15: wersje wcześniejsze niż 15.121.3.
• ERPNext 16: wersje wcześniejsze niż 16.35.0.

Poprawki zostały udostępnione w wersjach 15.121.3 oraz 16.35.0, wydanych 15 września 2026 roku. Samo ostrzeżenie GHSA opublikowano później, 31 października 2026 roku.

Oznacza to, że przedsiębiorstwa regularnie aktualizujące ERPNext mogły posiadać już zabezpieczoną wersję systemu w chwili publicznego ujawnienia szczegółów podatności.

W dniu publikacji ostrzeżenia dostępne były także nowsze wydania z obu obsługiwanych gałęzi, między innymi ERPNext 15.124.3 oraz 16.53.0.

Aktualne wersje można sprawdzić w oficjalnym repozytorium wydań ERPNext.

Jak sprawdzić i zabezpieczyć instalację ERPNext?

Administratorzy instalacji zarządzanych samodzielnie powinni w pierwszej kolejności ustalić używaną wersję aplikacji ERPNext. W środowiskach zarządzanych narzędziem Frappe Bench można to zrobić poleceniem:

bench version

Polecenie wyświetla wersje aplikacji zainstalowanych w danym środowisku, w tym ERPNext i Frappe Framework.

Jeżeli używana wersja znajduje się w podatnym zakresie, zalecane są następujące działania:

1. Wykonanie kopii bezpieczeństwa. Przed aktualizacją należy zabezpieczyć bazę danych, pliki i konfigurację produkcyjnego środowiska ERP.
2. Aktualizacja ERPNext. Należy zainstalować poprawioną wersję z używanej gałęzi oprogramowania, najlepiej najnowsze stabilne wydanie zgodne z pozostałymi komponentami instalacji.
3. Sprawdzenie zgodności integracji. Po aktualizacji trzeba zweryfikować działanie połączeń ze sklepem internetowym, mechanizmów synchronizacji zamówień, magazynu, fakturowania i innych aplikacji korzystających z ERPNext.
4. Kontrola uprawnień użytkowników. Warto przeanalizować konta mające dostęp do raportów finansowych oraz sprawdzić, czy użytkownicy posiadają wyłącznie uprawnienia potrzebne do wykonywania swoich obowiązków.
5. Przegląd aktywności. Jeżeli dostępne są odpowiednie dzienniki zdarzeń, należy zwrócić uwagę na nietypowe operacje związane z generowaniem raportów przez konta o ograniczonych uprawnieniach.

W standardowych instalacjach zarządzanych przez Frappe Bench dostępne jest również polecenie aktualizacji:

bench update

Jego uruchomienie może obejmować pobranie aktualizacji aplikacji, wykonanie migracji, przebudowanie zasobów i ponowne uruchomienie usług. W środowisku produkcyjnym aktualizację należy przeprowadzić po sprawdzeniu zgodności niestandardowych modułów i integracji, najlepiej po wcześniejszych testach na kopii instalacji.

Dokładne informacje o działaniu poleceń znajdują się w dokumentacji Frappe Bench.

Czy podatność jest już wykorzystywana w rzeczywistych atakach?

Na dzień 1 listopada 2026 roku oficjalne ostrzeżenie nie zawiera potwierdzenia aktywnych kampanii wykorzystujących podatność GHSA-g7r2-v98g-6wcr ani informacji o konkretnych przypadkach kradzieży danych.

Producent opisał jednak scenariusz potwierdzający możliwość uzyskania nieautoryzowanego dostępu do raportów finansowych przez użytkownika z ograniczonymi uprawnieniami.

Ocena CVSS 7,7 wynika między innymi z możliwości wykorzystania podatności przez sieć, niskiej złożoności ataku i potencjalnie poważnego naruszenia poufności informacji. Jednocześnie atak wymaga uwierzytelnienia, a jego potwierdzony skutek ogranicza się do odczytu danych.

Brak publicznych informacji o aktywnych atakach nie oznacza, że podatne instalacje mogą bezpiecznie odkładać aktualizację.

Aktualizacja ERPNext jest konieczna do usunięcia zagrożenia

Najważniejszym działaniem zabezpieczającym jest aktualizacja ERPNext do poprawionej wersji. Producent jednoznacznie wskazał, że dla tej podatności nie udostępniono obejścia umożliwiającego jej skuteczne wyeliminowanie bez instalowania poprawki.

Ograniczanie liczby kont użytkowników, kontrolowanie dostępu do systemu i monitorowanie aktywności pozostają ważnymi elementami bezpieczeństwa, ale nie zastępują aktualizacji.

Przedsiębiorstwa, które korzystają z ERPNext jako zaplecza sprzedaży internetowej, powinny potraktować to ostrzeżenie również jako powód do weryfikacji sposobu rozdzielania uprawnień pomiędzy użytkownikami, działami i obsługiwanymi firmami.

Pełny opis podatności, jej ocenę CVSS, zakres podatnych wersji i informacje o poprawkach opublikowano w oficjalnym ostrzeżeniu bezpieczeństwa ERPNext GHSA-g7r2-v98g-6wcr.