CVE-2026-90944
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
Krayin CRM do wersji 2.2.6 udostępnia punkt końcowy POST /admin/mail/inbound-parse bez uwierzytelnienia, co pozwala nieuwierzytelnionym atakującym na wstrzykiwanie dowolnych wiadomości e-mail do skrzynki odbiorczej CRM. Atakujący mogą dostarczyć spreparowane wiadomości RFC 2822 ze sfałszowanymi informacjami o nadawcy i nagłówkami, aby wstawić wiadomości o dowolnym temacie i treści, w tym odpowiedzi do istniejących wątków konwersacji.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzykiwać fałszywe wiadomości e-mail do CRM, co może prowadzić do phishingu, dezinformacji lub manipulacji danymi. Może to naruszyć integralność danych i zaufanie do systemu.
Rekomendacja
Zaktualizuj Krayin CRM do wersji nowszej niż 2.2.6, która wymaga uwierzytelnienia dla punktu końcowego inbound-parse. Do czasu aktualizacji rozważ ograniczenie dostępu do tego punktu końcowego na poziomie serwera WWW.
Inne podatności w Krayin CRM
Zobacz wszystkie- CVE-2026-41452Krytyczne
Krayin CRM 2.2.4 zawiera brak uwierzytelnienia w oprogramowaniu instalatora, co pozwala nieuwierzytelnionym zdalnym atakującym na nadpisanie głównego konta administratora poprzez wysłanie spreparowanego żądania HTTP POST z nagłówkiem X-Requested-With: XMLHttpRequest, aby ominąć sprawdzenie przekierowania CanInstall. Atakujący mogą podać dowolne wartości nazwy, e-maila i hasła do punktu końcowego admin-config-setup, który wykonuje nieuwierzytelnioną operację updateOrInsert na zakodowanym na stałe identyfikatorze użytkownika administratora, umożliwiając pełny dostęp administracyjny do wszystkich danych CRM.
- CVE-2026-41453Wysokie
Krayin CRM przed wersją 2.2.4 zawiera podatność na ślepą iniekcję SQL w DataGrid leadów, która pozwala uwierzytelnionym użytkownikom z dostępem do leadów na wstrzyknięcie dowolnego SQL do klauzuli HAVING poprzez manipulację parametrem zapytania rotten_lead[in]. Parametr jest konkatenowany bez parametryzowanego wiązania bezpośrednio w wywołaniu havingRaw() w LeadDataGrid.php. Atakujący mogą wykorzystać tę wadę za pomocą technik iniekcji ślepej opartej na czasie i wartościach logicznych, aby wyodrębnić całą zawartość bazy danych, w tym skróty haseł użytkowników, rekordy CRM i dane konfiguracyjne aplikacji.
- CVE-2026-61460Wysokie
Krayin CRM w wersji do 2.2.3 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR) w kontrolerach LeadController, PersonController, OrganizationController, QuoteController i ActivityController. Umożliwia ona uwierzytelnionym użytkownikom edytowanie, aktualizowanie lub usuwanie rekordów należących do innych użytkowników.
- CVE-2024-45932Średnie
Krayin CRM w wersji 1.3.0 zawiera podatność na atak typu Cross Site Scripting (XSS) poprzez pole nazwy organizacji w ścieżce /admin/contacts/organizations/edit/2. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce administratora.
Oryginalny opis (angielski, źródło NVD)
Krayin CRM through 2.2.6 exposes the POST /admin/mail/inbound-parse endpoint without authentication, allowing unauthenticated attackers to inject arbitrary emails into the CRM inbox. Attackers can supply crafted RFC 2822 messages with forged sender information and headers to insert emails with any subject and body, including replies to existing conversation threads.