CVE-2025-10341
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W Perfex CRM w wersji 3.2.1 występuje podatność na wstrzyknięcie kodu HTML (stored HTML injection). Wynika ona z braku odpowiedniej walidacji danych wejściowych przesyłanych metodą POST w parametrze 'company' na endpointcie '/clients/client/x'.
Ocena ryzyka
Atakujący może zapisać złośliwy kod HTML, który zostanie wyświetlony innym użytkownikom systemu, co może prowadzić do phishingu lub kradzieży danych sesji. Ryzyko dotyczy organizacji korzystających z Perfex CRM w wersji 3.2.1.
Rekomendacja
Zaktualizuj Perfex CRM do najnowszej wersji lub wdroż dodatkową walidację i sanityzację danych wejściowych w parametrze 'company'. Rozważ wdrożenie mechanizmów ochrony przed XSS, takich jak Content Security Policy.
Inne podatności w Perfex CRM
Zobacz wszystkie- CVE-2025-10346Średnie
W Perfex CRM v3.2.1 występuje podatność na wstrzyknięcie kodu HTML (stored HTML injection) z powodu braku odpowiedniej walidacji danych wejściowych. Atakujący może wysłać żądanie POST z parametrem 'subject' do punktu końcowego 'knowledge_base/article', co prowadzi do przechowania złośliwego kodu HTML.
- CVE-2025-10345Średnie
Perfex CRM w wersji 3.2.1 zawiera podatność typu stored HTML injection wynikającą z braku właściwej walidacji danych wejściowych użytkownika. Wstrzyknięcie następuje poprzez wysłanie żądania POST z parametrami 'name' i 'address' do punktu końcowego 'admin/leads/lead'.
- CVE-2025-10344Średnie
Perfex CRM w wersji 3.2.1 zawiera podatność typu stored HTML injection wynikającą z braku właściwej walidacji danych wejściowych użytkownika. Wstrzyknięcie następuje poprzez wysłanie żądania POST z parametrami 'name' i 'clientid' do punktu końcowego '/projects/project/x'.
- CVE-2025-10343Średnie
Perfex CRM w wersji 3.2.1 zawiera podatność typu stored HTML injection wynikającą z braku właściwej walidacji danych wejściowych użytkownika. Wstrzyknięcie następuje poprzez wysłanie żądania POST z parametrem 'expense_name' do punktu końcowego '/expenses/expense'.
- CVE-2025-10342Średnie
Perfex CRM w wersji 3.2.1 zawiera podatność typu stored HTML injection wynikającą z braku właściwej walidacji danych wejściowych użytkownika. Wstrzyknięcie następuje poprzez wysłanie żądania POST z parametrem 'name' do punktu końcowego '/subscriptions/create'.
Oryginalny opis (angielski, źródło NVD)
HTML injection vulnerability in Perfex CRM v3.2.1 consisting of a stored HTML injection due to lack of proper validation of user input by sending a POST request in the parameter 'company' at the endpoint '/clients/client/x.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS