CVE-2026-33741
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
EspoCRM w wersjach 9.3.3 i niższych pozwala uwierzytelnionym użytkownikom na przesyłanie załączników SVG przez standardowe pola obsługujące załączniki, a następnie wyświetlanie tych plików SVG jako dokumentów inline, co prowadzi do trwałego XSS między użytkownikami. Mimo że CSP blokuje skrypty inline SVG, pozwala na skrypty z tego samego źródła, więc atakujący może przesłać złośliwy SVG wraz z drugim załącznikiem JavaScript i nakłonić ofiarę do otwarcia SVG w celu wykonania kodu.
Ocena ryzyka
Atakujący może wykonać dowolny JavaScript w kontekście ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub kradzieży danych.
Rekomendacja
Należy zaktualizować EspoCRM do wersji 9.3.4 lub nowszej.
Inne podatności w EspoCRM
Zobacz wszystkie- CVE-2014-7985Wysokie
Podatność na przejście do katalogu w EspoCRM przed wersją 2.6.0 umożliwia zdalnym atakującym dołączenie i wykonanie dowolnych lokalnych plików poprzez użycie sekwencji .. (kropka kropka) w parametrze action w pliku install/index.php.
- CVE-2026-92298Średnie
EspoCRM do wersji 10.0.8 używa funkcji PHP rand() do generowania tokenów dla opt-in lead-capture, zaproszeń na wydarzenia i adresów URL kampanii, zamiast kryptograficznie bezpiecznego generatora. Zdalni nieuwierzytelnieni atakujący mogą odgadnąć te około 31-bitowe tokeny, aby potwierdzić opt-iny, zaakceptować lub odrzucić zaproszenia na wydarzenia w imieniu innych kontaktów oraz uzyskać dostęp do szczegółów wydarzeń.
- CVE-2026-90934Średnie
EspoCRM przed wersją 10.0.4 zawiera podatność polegającą na obejściu zabezpieczeń na poziomie pól w punktach końcowych dotyczących uczestników spotkań i połączeń. Uwierzytelnieni użytkownicy mogą odczytywać zastrzeżone adresy e-mail, wykorzystując nieprawidłową walidację zakresu ACL, która sprawdza uprawnienia zdarzenia nadrzędnego zamiast uprawnień encji uczestnika.
- CVE-2026-88896Średnie
EspoCRM w wersjach przed 10.0.4 jest podatny na Server-Side Request Forgery (SSRF). Funkcja HostCheck::ipAddressIsNotInternal() usuwa prefiksy ::ffff: (IPv4-mapped IPv6), ale nie rozpoznaje adresów przejściowych IPv6 osadzających prywatne adresy IPv4: NAT64 (64:ff9b::), 6to4 (2002::) i Teredo (2001:0000::). Atakujący kontrolujący domenę z rekordami AAAA wskazującymi na takie adresy może obejść walidację wewnętrznego hosta oraz kontrolę przypinania IP CURLOPT_RESOLVE, powodując wysyłanie przez EspoCRM żądań wychodzących do wewnętrznych usług sieciowych.
- CVE-2020-37094Wysokie
Podatność w EspoCRM 5.7.0 do 5.9.0 umożliwia ponowne użycie tokenów uwierzytelniających, co pozwala uwierzytelnionym atakującym ominąć dwuskładnikowe uwierzytelnianie (2FA). Tokeny są powiązane z hasłami, a nie z unikalnymi wartościami dla użytkownika, co umożliwia ich replikację na inne konta z tym samym hasłem.
Oryginalny opis (angielski, źródło NVD)
EspoCRM is an open source customer relationship management application. Versions 9.3.3 and below allow authenticated users to upload SVG attachments through normal attachment-capable fields and later serve those SVG files as top-level inline documents through both the attachment and image entry points, resulting in stored cross-user XSS reachable through a normal attachment workflow. Although inline SVG script is blocked by the response CSP, the same CSP still allows same-origin external script. As a result, an attacker can upload a malicious SVG together with a second attacker-controlled JavaScript attachment, then trick another user into opening the SVG to execute JavaScript in the victim's EspoCRM origin. This issue has been fixed in version 9.3.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS