CVE-2025-40991

Nome do Software Vulnerável e Versões Afetadas Ekushey CRM versão 5.0

Descrição Existe uma vulnerabilidade de cross-site scripting armazenado no Ekushey CRM versão 5.0 devido à validação insuficiente de dados fornecidos pelo usuário. A vulnerabilidade está localizada na funcionalidade de upload de arquivos do projeto através do endpoint da API /ekushey/index.php/client/project file/upload/xxxx, especificamente no parâmetro description submetido via uma requisição POST. Uma exploração bem-sucedida pode permitir que um atacante remoto roube os detalhes do cookie de sessão de um usuário autenticado ao enviar uma requisição maliciosa.

Recomendações Aplique técnicas apropriadas de validação e sanitização de entrada ao parâmetro description no endpoint da API /ekushey/index.php/client/project file/upload/xxxx.