CVE-2026-100884
ŚrednieCVSS 4.3Streszczenie
Podatność znaleziona w Krayin laravel-crm do wersji 2.2.5. Dotkniętym elementem jest funkcja Storage::download pliku packages/Webkul/Admin/src/Config/acl.php komponentu attachment-download Endpoint. Manipulacja argumentem ID prowadzi do niewłaściwej kontroli identyfikatorów zasobów. Atak może być zainicjowany zdalnie. Exploit został ujawniony publicznie i może być użyty. Aktualizacja do wersji 2.2.6 jest wystarczająca do rozwiązania tego problemu. Identyfikator poprawki to 13d6988cda8d69ece45ee1890effc90a7f21cdc1. Zaleca się aktualizację dotkniętego komponentu.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do plików lub zasobów poprzez manipulację identyfikatorem, co może prowadzić do ujawnienia wrażliwych danych lub naruszenia integralności systemu.
Rekomendacja
Należy zaktualizować Krayin laravel-crm do wersji 2.2.6 lub nowszej, która zawiera poprawkę.
Inne podatności w Krayin laravel-crm
Zobacz wszystkie- CVE-2026-100883Średnie
Wykryto wadę w Krayin laravel-crm do wersji 2.2.5. Dotkniętym elementem jest nieznana funkcja pliku packages/Webkul/Admin/src/Config/acl.php. Wykonanie manipulacji może prowadzić do niewłaściwych kontroli dostępu. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty. Aktualizacja do wersji 2.2.6 jest wystarczająca do naprawy tego problemu. Poprawka nazywa się a399404a388d8ad2700a01349d0d98069c8e85a4. Dotknięty komponent powinien zostać zaktualizowany.
- CVE-2026-100885Wysokie
W Krayin laravel-crm do wersji 2.2.4 wykryto podatność w nieznanej funkcji pliku packages/Webkul/Installer/src/Http/Middleware/CanInstall.php w komponencie admin-config-setup API Endpoint. Manipulacja prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Wersja 2.2.5 łagodzi problem.
- CVE-2026-100882Niskie
Wykryto podatność w Krayin laravel-crm do wersji 2.2.5. Dotyczy nieznanej funkcji w pliku packages/Webkul/Admin/src/Resources/views/components/layouts/index.blade.php komponentu Admin Settings Endpoint. Manipulacja argumentem general.settings.footer.label prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być użyty. Zalecane jest uaktualnienie do wersji 2.2.6.
- CVE-2026-97897Niskie
W systemie Krayin laravel-crm do wersji 2.2.5 odkryto podatność XSS w komponencie TinyMCE Media Upload, związaną z przetwarzaniem pliku Sanitizer.php. Atak może być przeprowadzony zdalnie. Problem rozwiązano w wersji 2.2.6.
- CVE-2026-97896Niskie
W systemie Krayin laravel-crm do wersji 2.2.5 stwierdzono podatność XSS w funkcji ConfigurationForm::rules pliku ConfigurationForm.php, związaną z funkcjonalnością przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Problem rozwiązano w wersji 2.2.6.
- CVE-2026-97895Średnie
Podatność w krayin laravel-crm do wersji 2.2.5 dotyczy nieznanej części pliku packages/Webkul/Admin/src/Http/Controllers/Settings/UserController.php w komponencie User Management. Manipulacja argumentem role_id prowadzi do niewłaściwego zarządzania uprawnieniami. Atak może być wykonany zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Aktualizacja do wersji 2.2.6 łagodzi problem.
- CVE-2026-5370Niskie
Podatność w krayin laravel-crm do wersji 2.2 w funkcji composeMail w pliku inbox.spec.ts modułów Activities i Notes umożliwia atak XSS. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in Krayin laravel-crm up to 2.2.5. The impacted element is the function Storage::download of the file packages/Webkul/Admin/src/Config/acl.php of the component attachment-download Endpoint. The manipulation of the argument ID leads to improper control of resource identifiers. The attack may be initiated remotely. The exploit has been disclosed to the public and may be used. Upgrading to version 2.2.6 is sufficient to resolve this issue. The identifier of the patch is 13d6988cda8d69ece45ee1890effc90a7f21cdc1. It is suggested to upgrade the affected component.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS