PT-2026-114955 · Espocrm+1 · Espocrm
CVE-2026-46694
·
تاريخ النشر
2026-10-15
·
تاريخ التحديث
2026-10-15
CVSS v3.1
6.5
متوسطة
| المتجه | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
اسم البرنامج المصاب والإصدارات المتأثرة
EspoCRM الإصدارات السابقة لـ 9.3.7
Description
يمكن لمستخدم البوابة الذي لديه وصول إلى تدفق (stream) سجل أب جلب ملاحظة تدفق داخلية من خلال الوصول المباشر إلى واجهة برمجة تطبيقات الملاحظات (Note API) الخاصة بالبوابة عندما يكون معرف الملاحظة معروفًا. في حين أن استجابات قائمة التدفق تخفي الملاحظات التي يكون فيها حقل
isInternal صحيحًا، إلا أن فحص الوصول المباشر لملاحظة واحدة لا يفرض هذا القيد، مما يؤدي إلى كشف محتوى الوكيل الداخلي.Recommendations
التحديث إلى الإصدار 9.3.7.
استغلال
إصلاح
Missing Authorization
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Espocrm