CVE-2026-100882

Podatność znaleziona w Krayin laravel-crm do wersji 2.2.5. Dotkniętym elementem jest funkcja Storage::download pliku packages/Webkul/Admin/src/Config/acl.php komponentu attachment-download Endpoint. Manipulacja argumentem ID prowadzi do niewłaściwej kontroli identyfikatorów zasobów. Atak może być zainicjowany zdalnie. Exploit został ujawniony publicznie i może być użyty. Aktualizacja do wersji 2.2.6 jest wystarczająca do rozwiązania tego problemu. Identyfikator poprawki to 13d6988cda8d69ece45ee1890effc90a7f21cdc1. Zaleca się aktualizację dotkniętego komponentu.

Wykryto wadę w Krayin laravel-crm do wersji 2.2.5. Dotkniętym elementem jest nieznana funkcja pliku packages/Webkul/Admin/src/Config/acl.php. Wykonanie manipulacji może prowadzić do niewłaściwych kontroli dostępu. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty. Aktualizacja do wersji 2.2.6 jest wystarczająca do naprawy tego problemu. Poprawka nazywa się a399404a388d8ad2700a01349d0d98069c8e85a4. Dotknięty komponent powinien zostać zaktualizowany.

W Krayin laravel-crm do wersji 2.2.4 wykryto podatność w nieznanej funkcji pliku packages/Webkul/Installer/src/Http/Middleware/CanInstall.php w komponencie admin-config-setup API Endpoint. Manipulacja prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Wersja 2.2.5 łagodzi problem.

W systemie Krayin laravel-crm do wersji 2.2.5 odkryto podatność XSS w komponencie TinyMCE Media Upload, związaną z przetwarzaniem pliku Sanitizer.php. Atak może być przeprowadzony zdalnie. Problem rozwiązano w wersji 2.2.6.

W systemie Krayin laravel-crm do wersji 2.2.5 stwierdzono podatność XSS w funkcji ConfigurationForm::rules pliku ConfigurationForm.php, związaną z funkcjonalnością przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Problem rozwiązano w wersji 2.2.6.

Podatność w krayin laravel-crm do wersji 2.2.5 dotyczy nieznanej części pliku packages/Webkul/Admin/src/Http/Controllers/Settings/UserController.php w komponencie User Management. Manipulacja argumentem role_id prowadzi do niewłaściwego zarządzania uprawnieniami. Atak może być wykonany zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Aktualizacja do wersji 2.2.6 łagodzi problem.

Podatność w krayin laravel-crm do wersji 2.2 w funkcji composeMail w pliku inbox.spec.ts modułów Activities i Notes umożliwia atak XSS. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.