PT-2026-32121 · Zadarma+1 · Zadarma Telephony Api+1

Shukrullo Raximov

·

CVE-2026-31845

·

Publicado

2026-04-11

·

Atualizado

2026-08-10

CVSS v4.0

9.3

Crítica

VetorAV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:N/SC:H/SI:H/SA:H
Nome do Software Vulnerável e Versões Afetadas Rukovoditel CRM versões anteriores a 3.6.5
Description Um problema de cross-site scripting (XSS) refletido existe no endpoint da API de telefonia Zadarma '/api/tel/zadarma.php'. A aplicação reflete a entrada fornecida pelo usuário através do parâmetro GET zd echo na resposta HTTP sem a devida sanitização, codificação de saída ou restrições de tipo de conteúdo, permitindo a execução de JavaScript arbitrário no navegador de uma vítima.
Recommendations Atualize para uma versão posterior a 3.6.4. Como medida paliativa temporária, evite usar o parâmetro zd echo no endpoint '/api/tel/zadarma.php'.

Correção

XSS

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-31845

Produtos afetados

Rukovoditel Crm
Zadarma Telephony Api