Description
在 Frappe ERPNext 15.57.5 版本中，erpnext/buying/doctype/request_for_quotation/request_for_quotation.py 文件中的 get_rfq_containing_supplier() 函数存在 SQL 注入漏洞。该函数在处理 txt 参数时未对用户输入进行充分过滤或参数化处理，攻击者可构造恶意 SQL 语句注入至查询逻辑中，从而执行非预期数据库操作，实现敏感数据提取。
ERPNext /api/method/erpnext.buying.doctype.request_for_quotation.request_for_quotation.get_rfq_containing_supplier SQL 注入漏洞（CVE-2025-52042）
PoC
None yet. Search at https://trap.biu.life/?ref=rssReferences
https://nvd.nist.gov/vuln/detail/CVE-2025-52042
https://github.com/advisories/GHSA-j242-3gh2-vf74
https://cvepremium.circl.lu/vuln/cve-2025-52042
https://vulners.com/cve/CVE-2025-52042
https://vuldb.com/vuln/326646
https://docs.devguard.org/vulnerability-database/CVE-2025-52042
https://www.thehackerwire.com/vulnerability/CVE-2025-52042