PT-2026-114962 · Espocrm · Espocrm
CVE-2026-59994
·
تاريخ النشر
2026-10-15
·
تاريخ التحديث
2026-10-15
CVSS v3.1
4.3
متوسطة
| المتجه | AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N |
اسم البرنامج المصاب والإصدارات المتأثرة
EspoCRM الإصدارات السابقة لـ 9.3.9
Description
يمكن لمهاجم عن بعد غير مصرح له إرسال بريد إلكتروني إلى مجموعة مراقبة أو عنوان IMAP، مثل عنوان البريد الإلكتروني الخاص بالحالات (email-to-Case)، يتضمن HTML تعسفي في متن النص العادي. يقوم التطبيق بتخزين هذا المتن وعرضه دون معالجة (escaping) في رسائل إشعارات تدفق البريد الإلكتروني الواردة المرسلة إلى المستخدمين الذين يتابعون السجل ذي الصلة. يؤدي ذلك إلى حقن HTML وتنفيذ JavaScript في عملاء البريد الإلكتروني الذين يسمحون بتنفيذ مثل هذا الكود. يحدث هذا لأن عمليات التطهير (sanitization) المستخدمة لإشعارات المنشورات والإشارات لم تشمل مسار الإشعارات هذا.
Recommendations
التحديث إلى الإصدار 9.3.9.
استغلال
إصلاح
XSS
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Espocrm