CVE-2026-88896
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
EspoCRM w wersjach przed 10.0.4 jest podatny na Server-Side Request Forgery (SSRF). Funkcja HostCheck::ipAddressIsNotInternal() usuwa prefiksy ::ffff: (IPv4-mapped IPv6), ale nie rozpoznaje adresów przejściowych IPv6 osadzających prywatne adresy IPv4: NAT64 (64:ff9b::), 6to4 (2002::) i Teredo (2001:0000::). Atakujący kontrolujący domenę z rekordami AAAA wskazującymi na takie adresy może obejść walidację wewnętrznego hosta oraz kontrolę przypinania IP CURLOPT_RESOLVE, powodując wysyłanie przez EspoCRM żądań wychodzących do wewnętrznych usług sieciowych.
Ocena ryzyka
Atakujący może zmusić EspoCRM do wykonywania żądań do wewnętrznych usług sieciowych, co może prowadzić do ujawnienia danych lub interakcji z systemami wewnętrznymi. Ścieżki podatne obejmują POST /Attachment/fromImageUrl (dostępne dla każdego uwierzytelnionego użytkownika z dostępem do załączników) oraz dostarczanie webhooków wychodzących (wymaga administratora lub użytkownika API).
Rekomendacja
Zaktualizuj EspoCRM do wersji 10.0.4 lub nowszej, która zawiera poprawkę. Do czasu aktualizacji ogranicz dostęp do podatnych ścieżek i monitoruj wychodzące żądania sieciowe.
Inne podatności w EspoCRM
Zobacz wszystkie- CVE-2014-7985Wysokie
Podatność na przejście do katalogu w EspoCRM przed wersją 2.6.0 umożliwia zdalnym atakującym dołączenie i wykonanie dowolnych lokalnych plików poprzez użycie sekwencji .. (kropka kropka) w parametrze action w pliku install/index.php.
- CVE-2026-92298Średnie
EspoCRM do wersji 10.0.8 używa funkcji PHP rand() do generowania tokenów dla opt-in lead-capture, zaproszeń na wydarzenia i adresów URL kampanii, zamiast kryptograficznie bezpiecznego generatora. Zdalni nieuwierzytelnieni atakujący mogą odgadnąć te około 31-bitowe tokeny, aby potwierdzić opt-iny, zaakceptować lub odrzucić zaproszenia na wydarzenia w imieniu innych kontaktów oraz uzyskać dostęp do szczegółów wydarzeń.
- CVE-2026-90934Średnie
EspoCRM przed wersją 10.0.4 zawiera podatność polegającą na obejściu zabezpieczeń na poziomie pól w punktach końcowych dotyczących uczestników spotkań i połączeń. Uwierzytelnieni użytkownicy mogą odczytywać zastrzeżone adresy e-mail, wykorzystując nieprawidłową walidację zakresu ACL, która sprawdza uprawnienia zdarzenia nadrzędnego zamiast uprawnień encji uczestnika.
- CVE-2026-33741Średnie
EspoCRM w wersjach 9.3.3 i niższych pozwala uwierzytelnionym użytkownikom na przesyłanie załączników SVG przez standardowe pola obsługujące załączniki, a następnie wyświetlanie tych plików SVG jako dokumentów inline, co prowadzi do trwałego XSS między użytkownikami. Mimo że CSP blokuje skrypty inline SVG, pozwala na skrypty z tego samego źródła, więc atakujący może przesłać złośliwy SVG wraz z drugim załącznikiem JavaScript i nakłonić ofiarę do otwarcia SVG w celu wykonania kodu.
- CVE-2020-37094Wysokie
Podatność w EspoCRM 5.7.0 do 5.9.0 umożliwia ponowne użycie tokenów uwierzytelniających, co pozwala uwierzytelnionym atakującym ominąć dwuskładnikowe uwierzytelnianie (2FA). Tokeny są powiązane z hasłami, a nie z unikalnymi wartościami dla użytkownika, co umożliwia ich replikację na inne konta z tym samym hasłem.
Oryginalny opis (angielski, źródło NVD)
EspoCRM before 10.0.4 is vulnerable to server-side request forgery. HostCheck::ipAddressIsNotInternal(), which validates outbound URLs to block requests to internal/private IP addresses, strips ::ffff: (IPv4-mapped IPv6) prefixes but does not recognize IPv6 transition addresses that embed private IPv4 addresses: NAT64 (64:ff9b::), 6to4 (2002::), and Teredo (2001:0000::). An attacker who controls a domain with AAAA records pointing to such transition addresses can bypass both the internal-host validation and the CURLOPT_RESOLVE IP-pinning check, causing EspoCRM to issue outbound requests to internal network services. Affected paths include POST /Attachment/fromImageUrl, reachable by any authenticated user with attachment access, and outbound webhook delivery, which requires an admin or API user.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS