CVE-2026-41452
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 83 - wyżej niż 83% wszystkich znanych CVE
Streszczenie
Krayin CRM 2.2.4 zawiera brak uwierzytelnienia w oprogramowaniu instalatora, co pozwala nieuwierzytelnionym zdalnym atakującym na nadpisanie głównego konta administratora poprzez wysłanie spreparowanego żądania HTTP POST z nagłówkiem X-Requested-With: XMLHttpRequest, aby ominąć sprawdzenie przekierowania CanInstall. Atakujący mogą podać dowolne wartości nazwy, e-maila i hasła do punktu końcowego admin-config-setup, który wykonuje nieuwierzytelnioną operację updateOrInsert na zakodowanym na stałe identyfikatorze użytkownika administratora, umożliwiając pełny dostęp administracyjny do wszystkich danych CRM.
Ocena ryzyka
Ryzyko obejmuje całkowite przejęcie konta administratora i dostęp do wszystkich danych CRM, co może prowadzić do kradzieży danych, manipulacji lub wycieku informacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Krayin CRM do najnowszej wersji, która usuwa tę lukę, oraz wdrożenie uwierzytelniania dla wszystkich punktów końcowych instalatora.
Inne podatności w Krayin CRM
Zobacz wszystkie- CVE-2026-90944Wysokie
Krayin CRM do wersji 2.2.6 udostępnia punkt końcowy POST /admin/mail/inbound-parse bez uwierzytelnienia, co pozwala nieuwierzytelnionym atakującym na wstrzykiwanie dowolnych wiadomości e-mail do skrzynki odbiorczej CRM. Atakujący mogą dostarczyć spreparowane wiadomości RFC 2822 ze sfałszowanymi informacjami o nadawcy i nagłówkami, aby wstawić wiadomości o dowolnym temacie i treści, w tym odpowiedzi do istniejących wątków konwersacji.
- CVE-2026-41453Wysokie
Krayin CRM przed wersją 2.2.4 zawiera podatność na ślepą iniekcję SQL w DataGrid leadów, która pozwala uwierzytelnionym użytkownikom z dostępem do leadów na wstrzyknięcie dowolnego SQL do klauzuli HAVING poprzez manipulację parametrem zapytania rotten_lead[in]. Parametr jest konkatenowany bez parametryzowanego wiązania bezpośrednio w wywołaniu havingRaw() w LeadDataGrid.php. Atakujący mogą wykorzystać tę wadę za pomocą technik iniekcji ślepej opartej na czasie i wartościach logicznych, aby wyodrębnić całą zawartość bazy danych, w tym skróty haseł użytkowników, rekordy CRM i dane konfiguracyjne aplikacji.
- CVE-2026-61460Wysokie
Krayin CRM w wersji do 2.2.3 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR) w kontrolerach LeadController, PersonController, OrganizationController, QuoteController i ActivityController. Umożliwia ona uwierzytelnionym użytkownikom edytowanie, aktualizowanie lub usuwanie rekordów należących do innych użytkowników.
- CVE-2024-45932Średnie
Krayin CRM w wersji 1.3.0 zawiera podatność na atak typu Cross Site Scripting (XSS) poprzez pole nazwy organizacji w ścieżce /admin/contacts/organizations/edit/2. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce administratora.
Oryginalny opis (angielski, źródło NVD)
Krayin CRM 2.2.4 contains a missing authentication vulnerability in the installer middleware that allows unauthenticated remote attackers to overwrite the primary administrator account by sending a crafted HTTP POST request with the X-Requested-With: XMLHttpRequest header to bypass the CanInstall middleware redirect check. Attackers can supply arbitrary name, email, and password values to the admin-config-setup endpoint, which performs an unauthenticated updateOrInsert targeting the hardcoded administrator user ID, enabling full administrative access to all CRM data.