CVE-2026-46691
ŚrednieCVSS 6.5Streszczenie
W EspoCRM przed wersją 9.3.7 uwierzytelniony użytkownik z dostępem do zakresu Import może wysłać żądanie POST /api/v1/Import/{id}/exportErrors z identyfikatorem importu innego użytkownika i uzyskać identyfikator załącznika do pliku CSV zawierającego wiersze z tego importu. Punkt końcowy sprawdza zakres, ale pomija kontrolę własności na poziomie encji wymaganą przez Import AccessChecker i inne punkty końcowe Import.
Ocena ryzyka
Użytkownik może uzyskać dostęp do danych importowanych przez innego użytkownika, co może prowadzić do wycieku informacji i naruszenia poufności.
Rekomendacja
Zaktualizuj EspoCRM do wersji 9.3.7 lub nowszej, która dodaje wymaganą kontrolę własności na poziomie encji.
Inne podatności w EspoCRM
Zobacz wszystkie- CVE-2026-75505Średnie
EspoCRM to aplikacja open source do zarządzania relacjami z klientami. Przed wersją 10.0.2 uwierzytelniony użytkownik z uprawnieniem do masowej aktualizacji może podać znany identyfikator załącznika do funkcji masowej aktualizacji. Procesor masowej aktualizacji duplikuje załącznik bez sprawdzenia, czy wywołujący może go odczytać, omijając ograniczenia na poziomie rekordów i pól oraz ujawniając zawartość pliku poprzez skopiowany załącznik. Uzyskanie prawidłowego identyfikatora załącznika może być trudne. Problem naprawiono w wersji 10.0.2.
- CVE-2026-77460Średnie
W EspoCRM przed wersją 10.0.3 użytkownik z dostępem do edycji szablonów e-mail i wysyłania masowych wiadomości może odwołać się do zastrzeżonych pól rekordów w szablonie, ponieważ mechanizm renderowania przestaje filtrować te pola, gdy stosowanie ACL per użytkownik jest wyłączone. To samo zachowanie dotyczy automatycznych odpowiedzi grupowych, gdy zwykły użytkownik może edytować wybrany szablon. Renderowane wiadomości mogą ujawniać zastrzeżone pola użytkowników.
- CVE-2026-63130Średnie
W EspoCRM przed wersją 9.3.10 uwierzytelniony administrator może dostarczyć spreparowane dane wejściowe do administracyjnego Label Manager. Niewystarczająca walidacja ścieżek pozwala na wyjście poza zamierzony katalog i umożliwia odczyt, modyfikację, tworzenie lub usuwanie plików JSON dostępnych dla aplikacji, zależnie od uprawnień systemu plików i konfiguracji serwera.
- CVE-2026-59994Średnie
W EspoCRM przed wersją 9.3.9 nieuwierzytelniony zdalny atakujący może wysłać e-mail na monitorowany adres grupowy lub IMAP (w tym e-mail-to-Case) z dowolnym kodem HTML w treści tekstowej. EspoCRM przechowuje tę treść i renderuje ją bez escapowania w powiadomieniach e-mail o odebranych wiadomościach, co umożliwia wstrzyknięcie HTML, a w klientach pocztowych wykonujących skrypty — wykonanie JavaScript.
- CVE-2026-55184Niskie
EspoCRM to aplikacja CRM o otwartym kodzie źródłowym. Przed wersją 9.3.9 użytkownik z uprawnieniem do edycji szablonów e-mail lub PDF może zapisać spreparowany HTML omijający moderateSanitizeHtml(). Gdy inny użytkownik otworzy szablon w trybie edycji, a clientCspDisabled ma wartość true, zapisany ładunek zostaje wykonany i może przejąć sesję użytkownika. Naprawiono w wersji 9.3.9.
- CVE-2026-55154Średnie
W EspoCRM przed wersją 9.3.9 funkcja sanitizeCellValue() sprawdza tylko pierwszy bajt wartości. Uwierzytelniony użytkownik o niskich uprawnieniach może zapisać wartość, w której wyzwalacz formuły jest poprzedzony białym znakiem lub znakiem kontrolnym, co powoduje pominięcie prefiksu neutralizującego formułę w eksporcie CSV/XLSX. Gdy uprzywilejowany użytkownik otworzy plik i zaakceptuje monity bezpieczeństwa, arkusz kalkulacyjny może wykonać formułę, co umożliwia ujawnienie danych, a w konfiguracjach z włączonym DDE — wykonanie poleceń.
- CVE-2026-53575Niskie
W aplikacji EspoCRM przed wersją 9.3.9 uwierzytelniony administrator może umieścić spreparowaną treść w ustawieniu applicationName poprzez wstrzyknięcie nonce CSP. Trwałe wstrzyknięcie trafia do głównej strony aplikacji bez escapowania, co pozwala na uruchomienie JavaScriptu w sesjach użytkowników i wyciek danych strony, w tym niezapisanych danych wprowadzonych przez użytkownika.
- CVE-2026-53574Wysokie
W EspoCRM od wersji 8.1.0 do 9.3.8 uwierzytelniony nieadministrator może przesłać spreparowany parametr where do endpointu GET entity streamAttachments, ponieważ ta ścieżka zapytania pozwala na złożone wyrażenia. Ślepa iniekcja SQL oparta na wartościach logicznych może wyodrębnić dowolne informacje z bazy danych, w tym aktywne tokeny sesji administratorów, i umożliwić pełną eskalację uprawnień.
- CVE-2026-46708Średnie
W EspoCRM przed wersją 9.3.7 użytkownik o niskich uprawnieniach mający dostęp do współdzielonej listy TargetList może wywołać akcje opt-out lub cancel-opt-out dla chronionego Kontaktu lub Leada, którego nie może odczytać ani edytować. Usługa weryfikuje dostęp do listy docelowej, ale pobiera rekord docelowy bez wymaganej autoryzacji, co pozwala na nieautoryzowaną zmianę stanu opted_out.
- CVE-2026-46694Średnie
W EspoCRM przed wersją 9.3.7 użytkownik portalu z dostępem do strumienia rekordu nadrzędnego może bezpośrednio pobrać notatkę przez portalowe API Note i odczytać wewnętrzną notatkę strumienia, jeśli zna jej identyfikator. Lista strumienia poprawnie ukrywa notatki z isInternal=true, ale bezpośredni dostęp do pojedynczej notatki nie egzekwuje tego ograniczenia, ujawniając wewnętrzne treści agentów.
Oryginalny opis (angielski, źródło NVD)
EspoCRM is an open source customer relationship management application. Prior to 9.3.7, an authenticated user with Import scope access can send POST /api/v1/Import/{id}/exportErrors with another user's import identifier and retrieve an attachment identifier for a CSV containing rows from that import. The endpoint performs a scope-level check but omits the entity-level ownership check enforced by the Import AccessChecker and sibling Import endpoints. This issue is fixed in version 9.3.7.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS