CVE-2026-53574

Nome do Software Vulnerável e Versões Afetadas EspoCRM versões 8.1.0 até 9.3.7

Description Um usuário autenticado sem privilégios de administrador pode realizar uma injeção de SQL cega baseada em booleano, uma técnica usada para extrair dados de um banco de dados fazendo perguntas de verdadeiro ou falso. Isso ocorre porque o endpoint GET 'streamAttachments' permite expressões complexas através do parâmetro where, permitindo a extração de informações arbitrárias do banco de dados, incluindo tokens de sessão de administradores ativos, o que pode levar à escalada total de privilégios.

Recommendations Atualizar para a versão 9.3.8. Evite usar o parâmetro where no endpoint 'streamAttachments' até que a atualização seja aplicada.