CVE-2025-10346
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W Perfex CRM v3.2.1 występuje podatność na wstrzyknięcie kodu HTML (stored HTML injection) z powodu braku odpowiedniej walidacji danych wejściowych. Atakujący może wysłać żądanie POST z parametrem 'subject' do punktu końcowego 'knowledge_base/article', co prowadzi do przechowania złośliwego kodu HTML.
Ocena ryzyka
Atakujący może wstrzyknąć dowolny kod HTML, który zostanie wyświetlony innym użytkownikom, co może posłużyć do phishingu lub manipulacji treścią. Może to podważyć zaufanie do systemu i narazić użytkowników na oszustwo.
Rekomendacja
Zaktualizuj Perfex CRM do wersji nowszej niż 3.2.1, która zawiera poprawkę. Do czasu aktualizacji wdróż dodatkową walidację i sanityzację danych wejściowych, szczególnie w parametrze 'subject'.
Inne podatności w Perfex CRM
Zobacz wszystkie- CVE-2025-10345Średnie
Perfex CRM w wersji 3.2.1 zawiera podatność typu stored HTML injection wynikającą z braku właściwej walidacji danych wejściowych użytkownika. Wstrzyknięcie następuje poprzez wysłanie żądania POST z parametrami 'name' i 'address' do punktu końcowego 'admin/leads/lead'.
- CVE-2025-10344Średnie
Perfex CRM w wersji 3.2.1 zawiera podatność typu stored HTML injection wynikającą z braku właściwej walidacji danych wejściowych użytkownika. Wstrzyknięcie następuje poprzez wysłanie żądania POST z parametrami 'name' i 'clientid' do punktu końcowego '/projects/project/x'.
- CVE-2025-10343Średnie
Perfex CRM w wersji 3.2.1 zawiera podatność typu stored HTML injection wynikającą z braku właściwej walidacji danych wejściowych użytkownika. Wstrzyknięcie następuje poprzez wysłanie żądania POST z parametrem 'expense_name' do punktu końcowego '/expenses/expense'.
- CVE-2025-10342Średnie
Perfex CRM w wersji 3.2.1 zawiera podatność typu stored HTML injection wynikającą z braku właściwej walidacji danych wejściowych użytkownika. Wstrzyknięcie następuje poprzez wysłanie żądania POST z parametrem 'name' do punktu końcowego '/subscriptions/create'.
- CVE-2025-10341Średnie
W Perfex CRM w wersji 3.2.1 występuje podatność na wstrzyknięcie kodu HTML (stored HTML injection). Wynika ona z braku odpowiedniej walidacji danych wejściowych przesyłanych metodą POST w parametrze 'company' na endpointcie '/clients/client/x'.
Oryginalny opis (angielski, źródło NVD)
HTML injection vulnerability in Perfex CRM v3.2.1 consisting of a stored HTML injection due to lack of proper validation of user input by sending a POST request in the parameters 'subject' at the endpoint 'knoewledge_base/article'.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS