CVE-2026-92298
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
EspoCRM do wersji 10.0.8 używa funkcji PHP rand() do generowania tokenów dla opt-in lead-capture, zaproszeń na wydarzenia i adresów URL kampanii, zamiast kryptograficznie bezpiecznego generatora. Zdalni nieuwierzytelnieni atakujący mogą odgadnąć te około 31-bitowe tokeny, aby potwierdzić opt-iny, zaakceptować lub odrzucić zaproszenia na wydarzenia w imieniu innych kontaktów oraz uzyskać dostęp do szczegółów wydarzeń.
Ocena ryzyka
Atakujący może podszyć się pod innych użytkowników, manipulować zgodami i uzyskać dostęp do informacji o wydarzeniach, co może prowadzić do naruszenia poufności i integralności danych. Podatność jest łatwa do wykorzystania zdalnie bez uwierzytelnienia.
Rekomendacja
Update EspoCRM to a version later than 10.0.8 that uses a cryptographically secure token generator. Until then, restrict access to token-generating functions.
Inne podatności w EspoCRM
Zobacz wszystkie- CVE-2014-7985Wysokie
Podatność na przejście do katalogu w EspoCRM przed wersją 2.6.0 umożliwia zdalnym atakującym dołączenie i wykonanie dowolnych lokalnych plików poprzez użycie sekwencji .. (kropka kropka) w parametrze action w pliku install/index.php.
- CVE-2026-90934Średnie
EspoCRM przed wersją 10.0.4 zawiera podatność polegającą na obejściu zabezpieczeń na poziomie pól w punktach końcowych dotyczących uczestników spotkań i połączeń. Uwierzytelnieni użytkownicy mogą odczytywać zastrzeżone adresy e-mail, wykorzystując nieprawidłową walidację zakresu ACL, która sprawdza uprawnienia zdarzenia nadrzędnego zamiast uprawnień encji uczestnika.
- CVE-2026-88896Średnie
EspoCRM w wersjach przed 10.0.4 jest podatny na Server-Side Request Forgery (SSRF). Funkcja HostCheck::ipAddressIsNotInternal() usuwa prefiksy ::ffff: (IPv4-mapped IPv6), ale nie rozpoznaje adresów przejściowych IPv6 osadzających prywatne adresy IPv4: NAT64 (64:ff9b::), 6to4 (2002::) i Teredo (2001:0000::). Atakujący kontrolujący domenę z rekordami AAAA wskazującymi na takie adresy może obejść walidację wewnętrznego hosta oraz kontrolę przypinania IP CURLOPT_RESOLVE, powodując wysyłanie przez EspoCRM żądań wychodzących do wewnętrznych usług sieciowych.
- CVE-2026-33741Średnie
EspoCRM w wersjach 9.3.3 i niższych pozwala uwierzytelnionym użytkownikom na przesyłanie załączników SVG przez standardowe pola obsługujące załączniki, a następnie wyświetlanie tych plików SVG jako dokumentów inline, co prowadzi do trwałego XSS między użytkownikami. Mimo że CSP blokuje skrypty inline SVG, pozwala na skrypty z tego samego źródła, więc atakujący może przesłać złośliwy SVG wraz z drugim załącznikiem JavaScript i nakłonić ofiarę do otwarcia SVG w celu wykonania kodu.
- CVE-2020-37094Wysokie
Podatność w EspoCRM 5.7.0 do 5.9.0 umożliwia ponowne użycie tokenów uwierzytelniających, co pozwala uwierzytelnionym atakującym ominąć dwuskładnikowe uwierzytelnianie (2FA). Tokeny są powiązane z hasłami, a nie z unikalnymi wartościami dla użytkownika, co umożliwia ich replikację na inne konta z tym samym hasłem.
Oryginalny opis (angielski, źródło NVD)
EspoCRM through 10.0.8 uses PHP's rand() function to generate tokens for lead-capture opt-in, event invitation, and campaign URLs instead of a cryptographically secure generator. Remote unauthenticated attackers can guess these roughly 31-bit tokens to confirm opt-ins, accept or decline event invitations on behalf of other contacts, and access event details.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS