CVE-2026-33733

EspoCRM açıq mənbəli müştəri münasibətlərinin idarə edilməsi tətbiqidir. Versiya 9.3.4-dən əvvəl, admin şablonlarının idarəetmə son nöqtələri hücum edən tərəf tərəfindən idarə olunan `name` və `scope` dəyərlərini qəbul edir və onları normallaşdırma və ya keçid filtrləməsi olmadan şablon yolunun qurulmasına ötürür. Nəticədə, autentifikasiya olunmuş administrator `../` ardıcıllıqlarından istifadə edərək təyin edilmiş şablon kataloqundan çıxa və veb tətbiqi istifadəçisinin fayl sistemi icazələri daxilində `body.tpl` və ya `subject.tpl` kimi həll olunan ixtiyari faylları oxuya, yarada, üzərinə yaza və ya silə bilər. Versiya 9.3.4 bu problemi aradan qaldırır.