CVE-2026-46691

اسم البرنامج المصاب والإصدارات المتأثرة EspoCRM الإصدارات السابقة لـ 9.3.7

الوصف يمكن لمستخدم مصرح له لديه صلاحية الوصول إلى نطاق الاستيراد (Import scope) استرداد معرف مرفق لملف CSV يحتوي على صفوف من عملية استيراد خاصة بمستخدم آخر. يحدث هذا لأن نقطة النهاية 'POST /api/v1/Import/{id}/exportErrors' تقوم بإجراء فحص على مستوى النطاق ولكنها تغفل فحص ملكية الكيان الذي يفرضه Import AccessChecker ونقاط نهاية الاستيراد المماثلة. يمكن للمهاجم استغلال ذلك عن طريق تقديم معرف استيراد خاص بمستخدم آخر في المتغير {id}.

التوصيات التحديث إلى الإصدار 9.3.7.