PT-2026-107992

CVE-2026-105833

Publicado

2026-10-08

Atualizado

2026-11-06

Descrição por

CVSS 4.0

8.3

Alta

MétricasAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas EspoCRM versões anteriores a 10.0.5

Description Ocorre uma referência direta insegura a objeto (IDOR) no serviço PersonalAccountService. Este problema permite que usuários com acesso ao escopo de Conta de E-mail recuperem senhas IMAP de outros usuários. Um invasor que possua o ID do registro de Conta de E-mail de uma vítima pode solicitar esse registro específico para roubar credenciais IMAP armazenadas e obter acesso não autorizado à caixa de correio da vítima.

Recommendations Atualize para a versão 10.0.5 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Skeletonsec

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-522: Insufficiently Protected Credentials

Identificadores relacionados