CVE-2026-59994

Nome do Software Vulnerável e Versões Afetadas EspoCRM versões anteriores a 9.3.9

Description Um invasor remoto não autenticado pode enviar um e-mail para um grupo monitorado ou endereço IMAP, como um endereço de e-mail para Caso, contendo HTML arbitrário no corpo de texto simples. A aplicação armazena esse corpo e o renderiza sem escape nos e-mails de notificação de fluxo de E-mail Recebido enviados aos usuários que seguem o registro relacionado. Isso permite a injeção de HTML e a execução de JavaScript em clientes de e-mail que executem tal código. Isso ocorre porque os processos de sanitização usados para notificações de Post e Menção não abrangiam este caminho de notificação específico.

Recommendations Atualizar para a versão 9.3.9.