CVE-2026-100883
ŚrednieCVSS 6.3Streszczenie
Wykryto wadę w Krayin laravel-crm do wersji 2.2.5. Dotkniętym elementem jest nieznana funkcja pliku packages/Webkul/Admin/src/Config/acl.php. Wykonanie manipulacji może prowadzić do niewłaściwych kontroli dostępu. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty. Aktualizacja do wersji 2.2.6 jest wystarczająca do naprawy tego problemu. Poprawka nazywa się a399404a388d8ad2700a01349d0d98069c8e85a4. Dotknięty komponent powinien zostać zaktualizowany.
Ocena ryzyka
Ryzyko obejmuje możliwość nieautoryzowanego dostępu do funkcji administracyjnych lub danych, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Zaleca się aktualizację Krayin laravel-crm do wersji 2.2.6 lub nowszej, która zawiera poprawkę.
Inne podatności w Krayin laravel-crm
Zobacz wszystkie- CVE-2026-100884Średnie
Podatność znaleziona w Krayin laravel-crm do wersji 2.2.5. Dotkniętym elementem jest funkcja Storage::download pliku packages/Webkul/Admin/src/Config/acl.php komponentu attachment-download Endpoint. Manipulacja argumentem ID prowadzi do niewłaściwej kontroli identyfikatorów zasobów. Atak może być zainicjowany zdalnie. Exploit został ujawniony publicznie i może być użyty. Aktualizacja do wersji 2.2.6 jest wystarczająca do rozwiązania tego problemu. Identyfikator poprawki to 13d6988cda8d69ece45ee1890effc90a7f21cdc1. Zaleca się aktualizację dotkniętego komponentu.
- CVE-2026-100885Wysokie
W Krayin laravel-crm do wersji 2.2.4 wykryto podatność w nieznanej funkcji pliku packages/Webkul/Installer/src/Http/Middleware/CanInstall.php w komponencie admin-config-setup API Endpoint. Manipulacja prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Wersja 2.2.5 łagodzi problem.
- CVE-2026-100882Niskie
Wykryto podatność w Krayin laravel-crm do wersji 2.2.5. Dotyczy nieznanej funkcji w pliku packages/Webkul/Admin/src/Resources/views/components/layouts/index.blade.php komponentu Admin Settings Endpoint. Manipulacja argumentem general.settings.footer.label prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być użyty. Zalecane jest uaktualnienie do wersji 2.2.6.
- CVE-2026-97897Niskie
W systemie Krayin laravel-crm do wersji 2.2.5 odkryto podatność XSS w komponencie TinyMCE Media Upload, związaną z przetwarzaniem pliku Sanitizer.php. Atak może być przeprowadzony zdalnie. Problem rozwiązano w wersji 2.2.6.
- CVE-2026-97896Niskie
W systemie Krayin laravel-crm do wersji 2.2.5 stwierdzono podatność XSS w funkcji ConfigurationForm::rules pliku ConfigurationForm.php, związaną z funkcjonalnością przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Problem rozwiązano w wersji 2.2.6.
- CVE-2026-97895Średnie
Podatność w krayin laravel-crm do wersji 2.2.5 dotyczy nieznanej części pliku packages/Webkul/Admin/src/Http/Controllers/Settings/UserController.php w komponencie User Management. Manipulacja argumentem role_id prowadzi do niewłaściwego zarządzania uprawnieniami. Atak może być wykonany zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Aktualizacja do wersji 2.2.6 łagodzi problem.
- CVE-2026-5370Niskie
Podatność w krayin laravel-crm do wersji 2.2 w funkcji composeMail w pliku inbox.spec.ts modułów Activities i Notes umożliwia atak XSS. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in Krayin laravel-crm up to 2.2.5. The affected element is an unknown function of the file packages/Webkul/Admin/src/Config/acl.php. Executing a manipulation can lead to improper access controls. The attack can be launched remotely. The exploit has been published and may be used. Upgrading to version 2.2.6 is sufficient to fix this issue. This patch is called a399404a388d8ad2700a01349d0d98069c8e85a4. The affected component should be upgraded.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS