CVE-2026-59994
Təsvir
EspoCRM açıq mənbəli müştəri münasibətlərinin idarə edilməsi tətbiqidir. Versiya 9.3.9-a qədər autentifikasiya olunmamış uzaq hücumçu monitorinq olunan qrupa və ya IMAP ünvanına (email-to-Case ünvanı daxil olmaqla) e-poçt göndərə və onun düz mətni gövdəsinə ixtiyari HTML yerləşdirə bilər. EspoCRM həmin gövdəni saxlayır və əlaqəli qeydi izləyən istifadəçilərə göndərilən "Email Received" axın bildirişi e-poçtlarında onu escape etmədən render edir ki, bu da HTML inyeksiyasına və onu icra edən poçt klientlərində JavaScript icrasına şərait yaradır. "Post" və "Mention" bildirişləri üçün tətbiq edilmiş əvvəlki sanitarizasiya bu bildiriş yolunu əhatə etmir. Bu problem 9.3.9 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| espocrm espocrm | < 9.3.9 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.