CVE-2026-97897
NiskieCVSS 3.5Streszczenie
W systemie Krayin laravel-crm do wersji 2.2.5 odkryto podatność XSS w komponencie TinyMCE Media Upload, związaną z przetwarzaniem pliku Sanitizer.php. Atak może być przeprowadzony zdalnie. Problem rozwiązano w wersji 2.2.6.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego wykonania skryptów w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub modyfikacji treści.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 2.2.6, która zawiera poprawkę (commit 734aa10ae6c2ffa4c96c8869a89aa66940e4d345).
Inne podatności w Krayin laravel-crm
Zobacz wszystkie- CVE-2026-97896Niskie
W systemie Krayin laravel-crm do wersji 2.2.5 stwierdzono podatność XSS w funkcji ConfigurationForm::rules pliku ConfigurationForm.php, związaną z funkcjonalnością przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Problem rozwiązano w wersji 2.2.6.
- CVE-2026-97895Średnie
Podatność w krayin laravel-crm do wersji 2.2.5 dotyczy nieznanej części pliku packages/Webkul/Admin/src/Http/Controllers/Settings/UserController.php w komponencie User Management. Manipulacja argumentem role_id prowadzi do niewłaściwego zarządzania uprawnieniami. Atak może być wykonany zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Aktualizacja do wersji 2.2.6 łagodzi problem.
- CVE-2026-5370Niskie
Podatność w krayin laravel-crm do wersji 2.2 w funkcji composeMail w pliku inbox.spec.ts modułów Activities i Notes umożliwia atak XSS. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in Krayin laravel-crm up to 2.2.5. This issue affects some unknown processing of the file Sanitizer.php of the component TinyMCE Media Upload. The manipulation results in cross site scripting. The attack may be performed from remote. Upgrading to version 2.2.6 is capable of addressing this issue. The patch is identified as 734aa10ae6c2ffa4c96c8869a89aa66940e4d345. You should upgrade the affected component.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS