CVE-2026-61460
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Krayin CRM w wersji do 2.2.3 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR) w kontrolerach LeadController, PersonController, OrganizationController, QuoteController i ActivityController. Umożliwia ona uwierzytelnionym użytkownikom edytowanie, aktualizowanie lub usuwanie rekordów należących do innych użytkowników.
Ocena ryzyka
Atakujący mogą modyfikować rekordy CRM i zmieniać ich właściciela, co prowadzi do naruszenia integralności danych i potencjalnego wycieku informacji poufnych.
Rekomendacja
Należy natychmiast zaktualizować Krayin CRM do najnowszej wersji, która zawiera poprawkę usuwającą tę lukę. Do czasu aktualizacji zaleca się wdrożenie tymczasowych reguł WAF blokujących podejrzane żądania do wymienionych kontrolerów.
Inne podatności w Krayin CRM
Zobacz wszystkie- CVE-2026-41452Krytyczne
Krayin CRM 2.2.4 zawiera brak uwierzytelnienia w oprogramowaniu instalatora, co pozwala nieuwierzytelnionym zdalnym atakującym na nadpisanie głównego konta administratora poprzez wysłanie spreparowanego żądania HTTP POST z nagłówkiem X-Requested-With: XMLHttpRequest, aby ominąć sprawdzenie przekierowania CanInstall. Atakujący mogą podać dowolne wartości nazwy, e-maila i hasła do punktu końcowego admin-config-setup, który wykonuje nieuwierzytelnioną operację updateOrInsert na zakodowanym na stałe identyfikatorze użytkownika administratora, umożliwiając pełny dostęp administracyjny do wszystkich danych CRM.
- CVE-2026-41453Wysokie
Krayin CRM przed wersją 2.2.4 zawiera podatność na ślepą iniekcję SQL w DataGrid leadów, która pozwala uwierzytelnionym użytkownikom z dostępem do leadów na wstrzyknięcie dowolnego SQL do klauzuli HAVING poprzez manipulację parametrem zapytania rotten_lead[in]. Parametr jest konkatenowany bez parametryzowanego wiązania bezpośrednio w wywołaniu havingRaw() w LeadDataGrid.php. Atakujący mogą wykorzystać tę wadę za pomocą technik iniekcji ślepej opartej na czasie i wartościach logicznych, aby wyodrębnić całą zawartość bazy danych, w tym skróty haseł użytkowników, rekordy CRM i dane konfiguracyjne aplikacji.
- CVE-2024-45932Średnie
Krayin CRM w wersji 1.3.0 zawiera podatność na atak typu Cross Site Scripting (XSS) poprzez pole nazwy organizacji w ścieżce /admin/contacts/organizations/edit/2. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce administratora.
Oryginalny opis (angielski, źródło NVD)
Krayin CRM through 2.2.3 contains an insecure direct object reference vulnerability in LeadController, PersonController, OrganizationController, QuoteController, and ActivityController that allows authenticated users to edit, update, or delete records owned by other users. Attackers can modify CRM records and reassign ownership by exploiting missing record-level ownership validation in edit, update, and destroy methods.