CVE-2026-44445ERPNext是一款免费的开源企业资源规划工具。在15.104.3和16.12.0版本之前，其EDI模块中存在XML外部实体（XXE）引用限制不当的漏洞。经过身份认证的攻击者可以利用此缺陷，通过发送特制的XML请求读取服务器本地文件系统中的任意文件，包括敏感的配置文件。
该漏洞的根本原因在于ERPNext的EDI模块在处理XML数据时，未正确禁用外部实体的解析。XML解析器默认支持DOCTYPE声明，允许定义外部实体。当攻击者作为经过身份认证的用户向EDI接口发送特制的XML payload时，可以通过定义SYSTEM或PUBLIC实体指向服务器本地文件（如/etc/passwd或配置文件）。解析器在处理XML时会解析这些实体并将文件内容返回给攻击者。由于CVSS向量显示为PR:L（低权限），攻击者仅需普通账号即可发起攻击，无需用户交互（UI:N），且攻击通过网络进行（AV:N）。这主要影响了机密性（C:H），导致敏感信息泄露。