CVE-2026-41452

Nome do Software Vulnerável e Versões Afetadas Krayin CRM versão 2.2.4

Descrição A ausência de autenticação no middleware do instalador permite que atacantes remotos não autenticados sobrescrevam a conta do administrador principal. Ao enviar uma requisição HTTP POST manipulada contendo o cabeçalho X-Requested-With: XMLHttpRequest, um atacante pode ignorar a verificação de redirecionamento do middleware CanInstall. Isso permite o envio de valores arbitrários de nome, e-mail e senha para o endpoint 'admin-config-setup', que executa a função updateOrInsert() não autenticada visando o ID de usuário administrador fixo, concedendo acesso administrativo total a todos os dados do CRM.

Recomendações Atualize o Krayin CRM para uma versão posterior à 2.2.4.