CVE-2025-59428
Təsvir
EspoCRM açıq mənbəli müştəri münasibətlərinin idarə edilməsi tətbiqidir. 9.1.9 versiyasından əvvəlki versiyalarda, saxlanılan SVG inyeksiyası və CSRF qorumasının olmaması kombinasiyası vasitəsilə, inzibati hesablar da daxil olmaqla, ixtiyari istifadəçi yaradılmasına imkan verən zəiflik mövcuddur. Bilik Bazası (Knowledge Base) redaktə icazələri olan hücumçu, məqalənin gövdə sahəsinə link ehtiva edən zərərli SVG elementi yerləşdirə bilər. Autentifikasiya olunmuş istifadəçi zərərli linkə kliklədikdə, o, api/v1/User son nöqtəsinə qarşı CSRF sorğusunu icra edən və hücumçunun nəzarətində olan HTML səhifəsinə yönləndirilir. Əgər qurban öz etibarnamələrini daxil etməyi tələb edilsə və onları daxil edərsə, CSRF faylı ilə müəyyən edilmiş imtiyazlara malik, hücumçunun nəzarətində olan bir hesab yaradılır. Bu problem 9.1.9 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- espocrm espocrm9.1.9 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| espocrm espocrm | v < 9.1.9 | 9.1.9 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.