Frappe ERPNext 15.89.0までのバージョンにおいて、問題が発見されました。erpnext.accounts.doctype.payment_entry.payment_entry.pyのget_outstanding_reference_documents()関数にはSQLインジェクションの脆弱性が存在しています。from_posting_dateパラメーターを経由してSQLペイロードが注入される場合、適切なサニタイズ処理やパラメータバインディングが実施されていないため、攻撃者はデータベースから任意のデータを抽出できてしまいます。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。