Podatności Krayin CRM

Krayin CRM 2.2.4 zawiera brak uwierzytelnienia w oprogramowaniu instalatora, co pozwala nieuwierzytelnionym zdalnym atakującym na nadpisanie głównego konta administratora poprzez wysłanie spreparowanego żądania HTTP POST z nagłówkiem X-Requested-With: XMLHttpRequest, aby ominąć sprawdzenie przekierowania CanInstall. Atakujący mogą podać dowolne wartości nazwy, e-maila i hasła do punktu końcowego admin-config-setup, który wykonuje nieuwierzytelnioną operację updateOrInsert na zakodowanym na stałe identyfikatorze użytkownika administratora, umożliwiając pełny dostęp administracyjny do wszystkich danych CRM.

Krayin CRM przed wersją 2.2.4 zawiera podatność na ślepą iniekcję SQL w DataGrid leadów, która pozwala uwierzytelnionym użytkownikom z dostępem do leadów na wstrzyknięcie dowolnego SQL do klauzuli HAVING poprzez manipulację parametrem zapytania rotten_lead[in]. Parametr jest konkatenowany bez parametryzowanego wiązania bezpośrednio w wywołaniu havingRaw() w LeadDataGrid.php. Atakujący mogą wykorzystać tę wadę za pomocą technik iniekcji ślepej opartej na czasie i wartościach logicznych, aby wyodrębnić całą zawartość bazy danych, w tym skróty haseł użytkowników, rekordy CRM i dane konfiguracyjne aplikacji.

Krayin CRM w wersji do 2.2.3 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR) w kontrolerach LeadController, PersonController, OrganizationController, QuoteController i ActivityController. Umożliwia ona uwierzytelnionym użytkownikom edytowanie, aktualizowanie lub usuwanie rekordów należących do innych użytkowników.

Krayin CRM w wersji 1.3.0 zawiera podatność na atak typu Cross Site Scripting (XSS) poprzez pole nazwy organizacji w ścieżce /admin/contacts/organizations/edit/2. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce administratora.