CVE-2026-38432ERPNext v15.103.1及之前版本的邮件模板引擎中发现存在存储型跨站脚本（XSS）漏洞。由于系统未对邮件模板内容进行严格的过滤与转义，拥有创建或编辑模板权限的攻击者可以注入恶意JavaScript代码。当其他用户访问或应用该受污染的模板时，恶意脚本将在其浏览器上下文中执行。攻击者可利用此漏洞窃取用户会话凭证、执行未授权操作或进行钓鱼攻击。
该漏洞属于存储型XSS（Stored XSS）。ERPNext基于Frappe框架，其邮件模板功能允许用户使用HTML格式编辑内容。在受影响版本中，应用对于HTML输入的净化机制不完善，允许攻击者插入如<script>、<img onerror=>等恶意标签。攻击载荷被持久化存储在数据库中，具有高权限或低权限的攻击者一旦完成注入，任何触发该模板渲染的用户（包括管理员）都将受到攻击。根据CVSS向量CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N，攻击复杂度低，且范围可变更（S:C），意味着恶意代码可能脱离当前页面上下文，影响浏览器中的其他组件，增加了攻击的隐蔽性和危害性。