CVE-2026-105288
ŚrednieCVSS 4.3Streszczenie
W feelec-yishu feelcrm-os 1.0.0 znaleziono podatność w funkcji IndexController::index w pliku App/ThinkPHP/Common/functions.php komponentu Crm Endpoint. Manipulacja argumentem redirect_url prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit został ujawniony publicznie i może być wykorzystany; projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Osoba atakująca może wykonać dowolny JavaScript w przeglądarce ofiary, przechwytując sesję lub dane uwierzytelniające. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania.
Rekomendacja
Ze względu na brak odpowiedzi projektu rozważ wdrożenie własnych poprawek lub ograniczenie dostępu do aplikacji. Waliduj i koduj parametr redirect_url.
Inne podatności w feelcrm-os
Zobacz wszystkie- CVE-2026-105291Średnie
W feelec-yishu feelcrm-os 1.0.0 wykryto podatność w funkcji GroupController::index w pliku App/Feelcrm/Index/Controller/GroupController.class.php komponentu Department Search Endpoint. Manipulacja argumentem keyword prowadzi do cross site scripting, a atak można zainicjować zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-105290Wysokie
Wykryto podatność w systemie feelcrm-os 1.0.0 (projekt feelec-yishu). Dotyczy ona nieznanej części pliku App/Feelcrm/Index/Controller/GoogleController.class.php w komponencie getCurlData Endpoint. Manipulacja argumentem url może prowadzić do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-105289Niskie
W feelec-yishu feelcrm-os 1.0.0 wykryto lukę w funkcji htmlspecialchars_decode pliku App/Feelcrm/Common/Model/CrmDefineFormModel.class.php w komponencie Create Customer Endpoint. Manipulacja argumentem customer_form[remark] prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit został upubliczniony i może być wykorzystany; projekt nie odpowiedział na zgłoszenie.
- CVE-2026-105287Średnie
W feelec-yishu feelcrm-os 1.0.0 wykryto lukę w nieznanej funkcji pliku App/Feelcrm/Crm/Controller/AjaxRequestController.class.php komponentu getMemberByGroups Endpoint. Manipulacja argumentem groups[] powoduje sql injection, a atak można przeprowadzić zdalnie. Exploit został opublikowany i może być wykorzystany; projekt został poinformowany o problemie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in feelec-yishu feelcrm-os 1.0.0. Affected by this vulnerability is the function IndexController::index of the file App/ThinkPHP/Common/functions.php of the component Crm Endpoint. Such manipulation of the argument redirect_url leads to cross site scripting. The attack may be performed from remote. The exploit has been disclosed to the public and may be used. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS