What is CVE-2026-12895?
CVE-2026-12895 is an SQL injection vulnerability found in Frappe's ERPNext versions 15.107.0 and Frappe 15.107.2. The application builds SQL queries using direct string interpolation via `str.format()` without parameterized queries, allowing SQL metacharacters to be injected through the name (docname) of a Supplier record. Users should immediately apply security patches and enhance input validation.
Azərbaycanca: CVE-2026-12895, Frappe-in ERPNext 15.107.0 və Frappe 15.107.2 versiyalarında aşkarlanmış SQL injection zəifliyidir. Tətbiq `str.format()` ilə birbaşa string interpolation istifadə edərək parametrləşdirilmiş sorğular tətbiq etmədiyi üçün, təchizatçı adı (Supplier docname) vasitəsilə SQL metacharakterlərin daxil edilməsinə imkan verir. İstifadəçilər dərhal təhlükəsizlik yeniləmələrini tətbiq etməli və giriş yoxlamalarını gücləndirməlidir.
Related CVEs
link basis: same weakness class CWE-89
FAQ2
How is CVE-2026-12895 exploited in Frappe ERPNext?
The vulnerability allows SQL metacharacters to be injected through the name (docname) of a Supplier record because the application uses direct string interpolation via `str.format()` without parameterized queries.
Which versions are affected by CVE-2026-12895?
CVE-2026-12895 was discovered in Frappe's ERPNext version 15.107.0 and Frappe version 15.107.2.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.