CVE-2026-41452
KrytyczneCVSS 9.8Streszczenie
Krayin CRM 2.2.4 zawiera brak uwierzytelnienia w oprogramowaniu instalatora, co pozwala nieuwierzytelnionym zdalnym atakującym na nadpisanie głównego konta administratora poprzez wysłanie spreparowanego żądania HTTP POST z nagłówkiem X-Requested-With: XMLHttpRequest, aby ominąć sprawdzenie przekierowania CanInstall. Atakujący mogą podać dowolne wartości nazwy, e-maila i hasła do punktu końcowego admin-config-setup, który wykonuje nieuwierzytelnioną operację updateOrInsert na zakodowanym na stałe identyfikatorze użytkownika administratora, umożliwiając pełny dostęp administracyjny do wszystkich danych CRM.
Ocena ryzyka
Ryzyko obejmuje całkowite przejęcie konta administratora i dostęp do wszystkich danych CRM, co może prowadzić do kradzieży danych, manipulacji lub wycieku informacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Krayin CRM do najnowszej wersji, która usuwa tę lukę, oraz wdrożenie uwierzytelniania dla wszystkich punktów końcowych instalatora.
Oryginalny opis (angielski, źródło NVD)
Krayin CRM 2.2.4 contains a missing authentication vulnerability in the installer middleware that allows unauthenticated remote attackers to overwrite the primary administrator account by sending a crafted HTTP POST request with the X-Requested-With: XMLHttpRequest header to bypass the CanInstall middleware redirect check. Attackers can supply arbitrary name, email, and password values to the admin-config-setup endpoint, which performs an unauthenticated updateOrInsert targeting the hardcoded administrator user ID, enabling full administrative access to all CRM data.