CVE-2026-105290
WysokieCVSS 7.3Streszczenie
Wykryto podatność w systemie feelcrm-os 1.0.0 (projekt feelec-yishu). Dotyczy ona nieznanej części pliku App/Feelcrm/Index/Controller/GoogleController.class.php w komponencie getCurlData Endpoint. Manipulacja argumentem url może prowadzić do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Ryzyko obejmuje możliwość wykorzystania serwera do wysyłania żądań do wewnętrznych zasobów sieci, co może prowadzić do ujawnienia wrażliwych danych lub ataków na inne systemy.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie systemu feelcrm-os do najnowszej wersji, jeśli dostępna jest poprawka. Należy również ograniczyć dostęp do endpointu getCurlData i walidować argument url, aby zapobiec atakom SSRF.
Inne podatności w feelcrm-os
Zobacz wszystkie- CVE-2026-105291Średnie
W feelec-yishu feelcrm-os 1.0.0 wykryto podatność w funkcji GroupController::index w pliku App/Feelcrm/Index/Controller/GroupController.class.php komponentu Department Search Endpoint. Manipulacja argumentem keyword prowadzi do cross site scripting, a atak można zainicjować zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-105289Niskie
W feelec-yishu feelcrm-os 1.0.0 wykryto lukę w funkcji htmlspecialchars_decode pliku App/Feelcrm/Common/Model/CrmDefineFormModel.class.php w komponencie Create Customer Endpoint. Manipulacja argumentem customer_form[remark] prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit został upubliczniony i może być wykorzystany; projekt nie odpowiedział na zgłoszenie.
- CVE-2026-105288Średnie
W feelec-yishu feelcrm-os 1.0.0 znaleziono podatność w funkcji IndexController::index w pliku App/ThinkPHP/Common/functions.php komponentu Crm Endpoint. Manipulacja argumentem redirect_url prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit został ujawniony publicznie i może być wykorzystany; projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-105287Średnie
W feelec-yishu feelcrm-os 1.0.0 wykryto lukę w nieznanej funkcji pliku App/Feelcrm/Crm/Controller/AjaxRequestController.class.php komponentu getMemberByGroups Endpoint. Manipulacja argumentem groups[] powoduje sql injection, a atak można przeprowadzić zdalnie. Exploit został opublikowany i może być wykorzystany; projekt został poinformowany o problemie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in feelec-yishu feelcrm-os 1.0.0. This affects an unknown part of the file App/Feelcrm/Index/Controller/GoogleController.class.php of the component getCurlData Endpoint. Executing a manipulation of the argument url can lead to server-side request forgery. It is possible to launch the attack remotely. The exploit has been publicly disclosed and may be utilized. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS