CVE-2026-47168

Nome do Software Vulnerável e Versões Afetadas EspoCRM versões anteriores a 9.3.7

Descrição Um administrador autenticado pode fornecer dados de objetos PHP serializados manipulados, armazenados em parâmetros de Exportação ou MassAction em segundo plano. O aplicativo posteriormente desserializa esses dados sem restringir as classes permitidas, o que permite a instanciação de objetos controlados pelo invasor e a execução de código arbitrário no servidor. A desserialização PHP é um processo no qual uma string armazenada é convertida de volta em um objeto PHP, o que pode ser perigoso se a entrada não for validada.

Recomendações Atualizar para a versão 9.3.7.