CVE-2025-10344
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Perfex CRM w wersji 3.2.1 zawiera podatność typu stored HTML injection wynikającą z braku właściwej walidacji danych wejściowych użytkownika. Wstrzyknięcie następuje poprzez wysłanie żądania POST z parametrami 'name' i 'clientid' do punktu końcowego '/projects/project/x'.
Ocena ryzyka
Złośliwy kod HTML zapisany w systemie może być wyświetlany innym użytkownikom, umożliwiając m.in. phishing, podmianę treści lub kradzież danych w kontekście przeglądarki ofiary. Może to podważyć zaufanie do systemu CRM i narazić organizację na ataki socjotechniczne.
Rekomendacja
Należy zaktualizować Perfex CRM do wersji zawierającej poprawkę lub wdrożyć poprawną walidację i sanityzację danych wejściowych w parametrach 'name' i 'clientid'. Zaleca się również wdrożenie polityki bezpieczeństwa treści (CSP) oraz przegląd istniejących danych pod kątem wstrzykniętego kodu.
Inne podatności w Perfex CRM
Zobacz wszystkie- CVE-2025-10346Średnie
W Perfex CRM v3.2.1 występuje podatność na wstrzyknięcie kodu HTML (stored HTML injection) z powodu braku odpowiedniej walidacji danych wejściowych. Atakujący może wysłać żądanie POST z parametrem 'subject' do punktu końcowego 'knowledge_base/article', co prowadzi do przechowania złośliwego kodu HTML.
- CVE-2025-10345Średnie
Perfex CRM w wersji 3.2.1 zawiera podatność typu stored HTML injection wynikającą z braku właściwej walidacji danych wejściowych użytkownika. Wstrzyknięcie następuje poprzez wysłanie żądania POST z parametrami 'name' i 'address' do punktu końcowego 'admin/leads/lead'.
- CVE-2025-10343Średnie
Perfex CRM w wersji 3.2.1 zawiera podatność typu stored HTML injection wynikającą z braku właściwej walidacji danych wejściowych użytkownika. Wstrzyknięcie następuje poprzez wysłanie żądania POST z parametrem 'expense_name' do punktu końcowego '/expenses/expense'.
- CVE-2025-10342Średnie
Perfex CRM w wersji 3.2.1 zawiera podatność typu stored HTML injection wynikającą z braku właściwej walidacji danych wejściowych użytkownika. Wstrzyknięcie następuje poprzez wysłanie żądania POST z parametrem 'name' do punktu końcowego '/subscriptions/create'.
- CVE-2025-10341Średnie
W Perfex CRM w wersji 3.2.1 występuje podatność na wstrzyknięcie kodu HTML (stored HTML injection). Wynika ona z braku odpowiedniej walidacji danych wejściowych przesyłanych metodą POST w parametrze 'company' na endpointcie '/clients/client/x'.
Oryginalny opis (angielski, źródło NVD)
HTML injection vulnerability in Perfex CRM v3.2.1 consisting of a stored HTML injection due to lack of proper validation of user input by sending a POST request in the parameters 'name' and 'clientid' at the endpoint '/projects/project/x'.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS