CVE:CVE-2018-3885
CNNVD:CNNVD-201809-347
Frappe ERPNext是一套开源的ERP（企业资源计划）系统。该系统包括财务管理、库存管理、客户关系管理、项目管理和人力资源管理等功能。
Frappe ERPNext 10.1.6版本中的‘order_by’参数存在SQL注入漏洞。远程攻击者可通过发送特制的Web请求利用该漏洞查看、添加、修改或删除后端数据库中的信息。
solution:Upgrade erpnext erpnext to a higher version than 10.1.6,and avoid the version 10.1.6