PT-2026-107990
CVE-2026-105831
·
تاريخ النشر
2026-10-08
·
تاريخ التحديث
2026-10-08
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
Name of the Vulnerable Software and Affected Versions
EspoCRM versions prior to 10.0.6
Description
An issue exists where unauthenticated attackers can perform stored HTML injection by submitting crafted data through Lead Capture public forms. The request body is stored in the
LeadCaptureLogRecord.data variable and is rendered without escaping when viewed by administrators. While the Content Security Policy prevents the execution of JavaScript, HTML content can still be injected.Recommendations
Update to version 10.0.6 or later.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾