Description
Frappe ERPNext 15.57.5 版本中，erpnext/stock/utils.py 文件内的 get_stock_balance() 函数存在 SQL 注入漏洞。该函数在处理 inventory_dimensions_dict 参数时未进行充分的过滤和参数化绑定，攻击者可构造恶意 SQL 语句注入数据库查询，从而在未授权的情况下获取数据库中的全部敏感信息。
ERPNext /api/method/erpnext.stock.utils.get_stock_balance SQL 注入漏洞（CVE-2025-52044）
PoC
None yet. Search at https://trap.biu.life/?ref=rssReferences
https://nvd.nist.gov/vuln/detail/CVE-2025-52044
https://github.com/advisories/GHSA-gpg6-pmh7-x5f7
https://www.sentinelone.com/vulnerability-database/cve-2025-52044/
https://www.ameeba.com/blog/cve-2025-52044-sql-injection-vulnerability-in-frappe-erpnext/
https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-52044
https://www.thehackerwire.com/vulnerability/CVE-2025-52044/