CVE-2026-46691

Nome do Software Vulnerável e Versões Afetadas EspoCRM versões anteriores a 9.3.7

Descrição Um usuário autenticado com acesso ao escopo de Importação pode recuperar um identificador de anexo para um CSV contendo linhas de uma importação de outro usuário. Isso ocorre porque o endpoint 'POST /api/v1/Import/{id}/exportErrors' realiza uma verificação de nível de escopo, mas falha em executar a verificação de propriedade de nível de entidade exigida pelo Import AccessChecker e endpoints de Importação relacionados. O invasor pode explorar isso fornecendo o identificador de importação de outro usuário na variável {id}.

Recomendações Atualizar para a versão 9.3.7.