PT-2025-16546
CVE-2025-32385
·
تاريخ النشر
2025-04-15
·
تاريخ التحديث
2025-04-16
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات EspoCRM الأقدم من 9.0.5
الوصف
تتعلق المشكلة بـ«dashlet Iframe» في EspoCRM، والتي تتيح للمستخدمين عرض إطارات iframe تحتوي على عناوين URL عشوائية. ونظرًا لعدم تضمين السمة sandbox في إطار iframe، يمكن لصفحة بعيدة فتح نوافذ منبثقة خارج إطار iframe، مما قد يؤدي إلى خداع المستخدمين ويشكل خطرًا يتعلق بالتصيد الاحتيالي. يتم تحديد عنوان URL لإطار iframe من قبل المستخدم، لذا سيحتاج المهاجم إلى حث المستخدم على تحديد عنوان URL ضار. كما أن غياب السمة sandbox يسمح للصفحة البعيدة بإرسال رسائل إلى الإطار الأصلي، على الرغم من أن EspoCRM لا يستخدم هذه الرسائل.
التوصيات
لحل المشكلة، قم بالتحديث إلى الإصدار 9.0.5 أو أحدث. كحل بديل مؤقت، ضع في اعتبارك تقييد استخدام داشليت Iframe لتقليل مخاطر الاستغلال. تجنب استخدام داشليت Iframe مع عناوين URL غير موثوقة حتى يتم حل المشكلة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾