CVE-2025-41106
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W Fairsketch RISE CRM Framework v3.8.1 występuje podatność na wstrzykiwanie HTML wynikająca z braku właściwej walidacji danych wejściowych. Atakujący może wysłać żądanie POST z złośliwym kodem w parametrze 'first_name' w ścieżce '/clients/save_contact/'.
Ocena ryzyka
Wstrzyknięty kod HTML może być wykonany w przeglądarce użytkownika odwiedzającego dotknięty widok, co może prowadzić do phishingu, kradzieży sesji lub modyfikacji treści. Ryzyko dotyczy instalacji RISE CRM w wersji 3.8.1.
Rekomendacja
Zaktualizuj RISE CRM Framework do wersji zawierającej poprawkę lub wdróż walidację i kodowanie danych wejściowych w parametrze 'first_name'. Do czasu aktualizacji ogranicz dostęp do funkcji zapisu kontaktów.
Inne podatności w RISE CRM Framework
Zobacz wszystkie- CVE-2025-41105Średnie
W Fairsketch RISE CRM Framework v3.8.1 wykryto podatność na wstrzykiwanie kodu HTML polegającą na braku odpowiedniej walidacji danych wejściowych użytkownika poprzez wysłanie żądania POST w parametrze 'title' w '/tickets/save'.
- CVE-2025-41104Średnie
W Fairsketch RISE CRM Framework v3.8.1 wykryto podatność na wstrzykiwanie kodu HTML polegającą na braku odpowiedniej walidacji danych wejściowych użytkownika poprzez wysłanie żądania POST w parametrze 'custom_field_1' w '/estimate_requests/save_estimate_request'.
- CVE-2025-41103Średnie
W Fairsketch RISE CRM Framework v3.8.1 wykryto podatność na wstrzykiwanie kodu HTML polegającą na braku odpowiedniej walidacji danych wejściowych użytkownika poprzez wysłanie żądania POST w parametrze 'reply_message' w '/messages/reply'.
- CVE-2025-41102Średnie
W Fairsketch RISE CRM Framework v3.8.1 wykryto podatność na wstrzykiwanie kodu HTML polegającą na braku odpowiedniej walidacji danych wejściowych użytkownika poprzez wysłanie żądania POST w parametrze 'title' w '/events/save'.
- CVE-2025-41101Średnie
W Fairsketch RISE CRM Framework v3.8.1 wykryto podatność na wstrzykiwanie kodu HTML polegającą na braku odpowiedniej walidacji danych wejściowych użytkownika poprzez wysłanie żądania POST w parametrze 'title' w '/projects/save'.
Oryginalny opis (angielski, źródło NVD)
HTML injection vulnerability found in Fairsketch's RISE CRM Framework v3.8.1, which consist of an HTML code injection due to lack of proper validation of user inputs by sending a POST request in parameter 'first_name' in '/clients/save_contact/'.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS