CVE-2026-118686

W EspoCRM do wersji 9.3.10/10.0.10 wykryto podatność w funkcji ImageSourceProvider::get w pliku application/Espo/Tools/Pdf/Dompdf/ImageSourceProvider.php, w komponencie PDF Rendering Pipeline. Manipulacja argumentem ID prowadzi do obejścia autoryzacji. Atak można zainicjować zdalnie. Poprawka nosi nazwę 91a9edbcedb9c7aa8e3d3ac81d8a7acccb99bca2 i zaleca się jej zainstalowanie.

W EspoCRM przed wersją 10.0.3 użytkownik z dostępem do edycji szablonów e-mail i wysyłania masowych wiadomości może odwołać się do zastrzeżonych pól rekordów w szablonie, ponieważ mechanizm renderowania przestaje filtrować te pola, gdy stosowanie ACL per użytkownik jest wyłączone. To samo zachowanie dotyczy automatycznych odpowiedzi grupowych, gdy zwykły użytkownik może edytować wybrany szablon. Renderowane wiadomości mogą ujawniać zastrzeżone pola użytkowników.

W EspoCRM przed wersją 9.3.10 uwierzytelniony administrator może dostarczyć spreparowane dane wejściowe do administracyjnego Label Manager. Niewystarczająca walidacja ścieżek pozwala na wyjście poza zamierzony katalog i umożliwia odczyt, modyfikację, tworzenie lub usuwanie plików JSON dostępnych dla aplikacji, zależnie od uprawnień systemu plików i konfiguracji serwera.

EspoCRM to aplikacja CRM o otwartym kodzie źródłowym. Przed wersją 9.3.9 użytkownik z uprawnieniem do edycji szablonów e-mail lub PDF może zapisać spreparowany HTML omijający moderateSanitizeHtml(). Gdy inny użytkownik otworzy szablon w trybie edycji, a clientCspDisabled ma wartość true, zapisany ładunek zostaje wykonany i może przejąć sesję użytkownika. Naprawiono w wersji 9.3.9.

W aplikacji EspoCRM przed wersją 9.3.9 uwierzytelniony administrator może umieścić spreparowaną treść w ustawieniu applicationName poprzez wstrzyknięcie nonce CSP. Trwałe wstrzyknięcie trafia do głównej strony aplikacji bez escapowania, co pozwala na uruchomienie JavaScriptu w sesjach użytkowników i wyciek danych strony, w tym niezapisanych danych wprowadzonych przez użytkownika.

W EspoCRM od wersji 8.1.0 do 9.3.8 uwierzytelniony nieadministrator może przesłać spreparowany parametr where do endpointu GET entity streamAttachments, ponieważ ta ścieżka zapytania pozwala na złożone wyrażenia. Ślepa iniekcja SQL oparta na wartościach logicznych może wyodrębnić dowolne informacje z bazy danych, w tym aktywne tokeny sesji administratorów, i umożliwić pełną eskalację uprawnień.

W EspoCRM przed wersją 9.3.7 użytkownik o niskich uprawnieniach mający dostęp do współdzielonej listy TargetList może wywołać akcje opt-out lub cancel-opt-out dla chronionego Kontaktu lub Leada, którego nie może odczytać ani edytować. Usługa weryfikuje dostęp do listy docelowej, ale pobiera rekord docelowy bez wymaganej autoryzacji, co pozwala na nieautoryzowaną zmianę stanu opted_out.

W EspoCRM przed wersją 9.3.7 uwierzytelniony użytkownik z dostępem do zakresu Import może wysłać żądanie POST /api/v1/Import/{id}/exportErrors z identyfikatorem importu innego użytkownika i uzyskać identyfikator załącznika do pliku CSV zawierającego wiersze z tego importu. Punkt końcowy sprawdza zakres, ale pomija kontrolę własności na poziomie encji wymaganą przez Import AccessChecker i inne punkty końcowe Import.

EspoCRM w wersji od 4.0.0 do 10.0.7 zawiera podatność kontroli dostępu, która pozwala uwierzytelnionym użytkownikom na odczyt wartości pól audytowanych, ograniczonych przez zabezpieczenia na poziomie pola, poprzez pobieranie pojedynczych notatek strumienia. Użytkownicy z dostępem do strumienia rekordu nadrzędnego mogą wywołać GET /Note/{id}, co pomija filtr NoteAccessControl i ujawnia wartości data.attributes.was i became dla zastrzeżonych pól.

EspoCRM w wersjach przed 10.0.6 zawiera podatność obejścia uwierzytelniania, która akceptuje logowanie zatrzymane na drugim etapie (2FA) na trasach niewymagających uwierzytelniania. Atakujący znający nazwę użytkownika i hasło użytkownika z włączonym 2FA może pominąć drugi czynnik i odczytać parametry konfiguracji nieujawniane publicznie.