CVE-2017-1000120

https://notcve.org/view.php?id=CVE-2017-1000120

04 Oct 2017 — [ERPNext][Frappe Version <= 7.1.27] SQL injection vulnerability in frappe.share.get_users allows remote authenticated users to execute arbitrary SQL commands via the fields parameter. [ERPNext][Frappe en versiones iguales o anteriores a la 7.1.27] Una vulnerabilidad de inyección SQL en frappe.share.get_users permite que usuarios autenticados remotos ejecuten comandos SQL arbitrarios mediante el parámetro fields. • http://tech.mantz-it.com/2016/12/sql-injection-in-frappe-framework.html • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •