CVE-2026-100885
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
W Krayin laravel-crm do wersji 2.2.4 wykryto podatność w nieznanej funkcji pliku packages/Webkul/Installer/src/Http/Middleware/CanInstall.php w komponencie admin-config-setup API Endpoint. Manipulacja prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Wersja 2.2.5 łagodzi problem.
Ocena ryzyka
Atakujący może ominąć mechanizmy autoryzacji i uzyskać nieautoryzowany dostęp do funkcji administracyjnych CRM, co może prowadzić do naruszenia danych.
Rekomendacja
Należy zaktualizować Krayin laravel-crm do wersji 2.2.5 lub nowszej, która zawiera poprawkę.
Inne podatności w Krayin laravel-crm
Zobacz wszystkie- CVE-2026-100884Średnie
Podatność znaleziona w Krayin laravel-crm do wersji 2.2.5. Dotkniętym elementem jest funkcja Storage::download pliku packages/Webkul/Admin/src/Config/acl.php komponentu attachment-download Endpoint. Manipulacja argumentem ID prowadzi do niewłaściwej kontroli identyfikatorów zasobów. Atak może być zainicjowany zdalnie. Exploit został ujawniony publicznie i może być użyty. Aktualizacja do wersji 2.2.6 jest wystarczająca do rozwiązania tego problemu. Identyfikator poprawki to 13d6988cda8d69ece45ee1890effc90a7f21cdc1. Zaleca się aktualizację dotkniętego komponentu.
- CVE-2026-100883Średnie
Wykryto wadę w Krayin laravel-crm do wersji 2.2.5. Dotkniętym elementem jest nieznana funkcja pliku packages/Webkul/Admin/src/Config/acl.php. Wykonanie manipulacji może prowadzić do niewłaściwych kontroli dostępu. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty. Aktualizacja do wersji 2.2.6 jest wystarczająca do naprawy tego problemu. Poprawka nazywa się a399404a388d8ad2700a01349d0d98069c8e85a4. Dotknięty komponent powinien zostać zaktualizowany.
- CVE-2026-100882Niskie
Wykryto podatność w Krayin laravel-crm do wersji 2.2.5. Dotyczy nieznanej funkcji w pliku packages/Webkul/Admin/src/Resources/views/components/layouts/index.blade.php komponentu Admin Settings Endpoint. Manipulacja argumentem general.settings.footer.label prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być użyty. Zalecane jest uaktualnienie do wersji 2.2.6.
- CVE-2026-97897Niskie
W systemie Krayin laravel-crm do wersji 2.2.5 odkryto podatność XSS w komponencie TinyMCE Media Upload, związaną z przetwarzaniem pliku Sanitizer.php. Atak może być przeprowadzony zdalnie. Problem rozwiązano w wersji 2.2.6.
- CVE-2026-97896Niskie
W systemie Krayin laravel-crm do wersji 2.2.5 stwierdzono podatność XSS w funkcji ConfigurationForm::rules pliku ConfigurationForm.php, związaną z funkcjonalnością przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Problem rozwiązano w wersji 2.2.6.
- CVE-2026-97895Średnie
Podatność w krayin laravel-crm do wersji 2.2.5 dotyczy nieznanej części pliku packages/Webkul/Admin/src/Http/Controllers/Settings/UserController.php w komponencie User Management. Manipulacja argumentem role_id prowadzi do niewłaściwego zarządzania uprawnieniami. Atak może być wykonany zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Aktualizacja do wersji 2.2.6 łagodzi problem.
- CVE-2026-5370Niskie
Podatność w krayin laravel-crm do wersji 2.2 w funkcji composeMail w pliku inbox.spec.ts modułów Activities i Notes umożliwia atak XSS. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in Krayin laravel-crm up to 2.2.4. This affects an unknown function of the file packages/Webkul/Installer/src/Http/Middleware/CanInstall.php of the component admin-config-setup API Endpoint. The manipulation results in authorization bypass. The attack may be launched remotely. The exploit has been made public and could be used. Upgrading to version 2.2.5 mitigates this issue. The patch is identified as 89f2916b6a46ff91bd1999ce38158fa0de8b9490. Upgrading the affected component is recommended.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS