CVE-2026-109957

EspoCRM w wersji od 4.0.0 do 10.0.7 zawiera podatność kontroli dostępu, która pozwala uwierzytelnionym użytkownikom na odczyt wartości pól audytowanych, ograniczonych przez zabezpieczenia na poziomie pola, poprzez pobieranie pojedynczych notatek strumienia. Użytkownicy z dostępem do strumienia rekordu nadrzędnego mogą wywołać GET /Note/{id}, co pomija filtr NoteAccessControl i ujawnia wartości data.attributes.was i became dla zastrzeżonych pól.

EspoCRM w wersji od 4.0.0 do 10.0.7 zawiera podatność niewłaściwej kontroli dostępu, która pozwala uwierzytelnionym użytkownikom na odczyt zastrzeżonych wartości emailAddress poprzez API wyszukiwania w książce adresowej. Użytkownicy z dostępem do rekordu mogą zapytać książkę adresową, aby uzyskać adresy e-mail, nawet gdy Role ograniczają pole emailAddress.

EspoCRM w wersjach przed 10.0.6 zawiera podatność obejścia uwierzytelniania, która akceptuje logowanie zatrzymane na drugim etapie (2FA) na trasach niewymagających uwierzytelniania. Atakujący znający nazwę użytkownika i hasło użytkownika z włączonym 2FA może pominąć drugi czynnik i odczytać parametry konfiguracji nieujawniane publicznie.

Podatność na przejście do katalogu w EspoCRM przed wersją 2.6.0 umożliwia zdalnym atakującym dołączenie i wykonanie dowolnych lokalnych plików poprzez użycie sekwencji .. (kropka kropka) w parametrze action w pliku install/index.php.

EspoCRM w wersjach przed 10.0.5 zawiera podatność typu Insecure Direct Object Reference w PersonalAccount\Service. Użytkownicy z dostępem do zakresu Email Account mogą pobierać hasła IMAP innych użytkowników, znając identyfikator rekordu konta e-mail ofiary.

EspoCRM w wersjach przed 10.0.6 zawiera podatność trwałego wstrzyknięcia HTML, która pozwala nieuwierzytelnionym atakującym wstrzyknąć HTML poprzez przesłanie spreparowanych danych w publicznym formularzu Lead Capture. Treść żądania jest zapisywana w LeadCaptureLogRecord.data i renderowana bez escapowania, gdy administratorzy przeglądają rekord dziennika, choć Content Security Policy blokuje wykonanie JavaScriptu.

EspoCRM do wersji 10.0.8 używa funkcji PHP rand() do generowania tokenów dla opt-in lead-capture, zaproszeń na wydarzenia i adresów URL kampanii, zamiast kryptograficznie bezpiecznego generatora. Zdalni nieuwierzytelnieni atakujący mogą odgadnąć te około 31-bitowe tokeny, aby potwierdzić opt-iny, zaakceptować lub odrzucić zaproszenia na wydarzenia w imieniu innych kontaktów oraz uzyskać dostęp do szczegółów wydarzeń.

EspoCRM przed wersją 10.0.4 zawiera podatność polegającą na obejściu zabezpieczeń na poziomie pól w punktach końcowych dotyczących uczestników spotkań i połączeń. Uwierzytelnieni użytkownicy mogą odczytywać zastrzeżone adresy e-mail, wykorzystując nieprawidłową walidację zakresu ACL, która sprawdza uprawnienia zdarzenia nadrzędnego zamiast uprawnień encji uczestnika.

EspoCRM w wersjach przed 10.0.4 jest podatny na Server-Side Request Forgery (SSRF). Funkcja HostCheck::ipAddressIsNotInternal() usuwa prefiksy ::ffff: (IPv4-mapped IPv6), ale nie rozpoznaje adresów przejściowych IPv6 osadzających prywatne adresy IPv4: NAT64 (64:ff9b::), 6to4 (2002::) i Teredo (2001:0000::). Atakujący kontrolujący domenę z rekordami AAAA wskazującymi na takie adresy może obejść walidację wewnętrznego hosta oraz kontrolę przypinania IP CURLOPT_RESOLVE, powodując wysyłanie przez EspoCRM żądań wychodzących do wewnętrznych usług sieciowych.

EspoCRM w wersjach 9.3.3 i niższych pozwala uwierzytelnionym użytkownikom na przesyłanie załączników SVG przez standardowe pola obsługujące załączniki, a następnie wyświetlanie tych plików SVG jako dokumentów inline, co prowadzi do trwałego XSS między użytkownikami. Mimo że CSP blokuje skrypty inline SVG, pozwala na skrypty z tego samego źródła, więc atakujący może przesłać złośliwy SVG wraz z drugim załącznikiem JavaScript i nakłonić ofiarę do otwarcia SVG w celu wykonania kodu.