CVE-2025-32390
Açıklama
EspoCRM ücretsiz ve açık kaynaklı bir müşteri ilişkileri yönetimi platformudur. Versiyon 9.0.8 öncesinde, Bilgi Tabanı (Knowledge Base - KB) makalelerindeki HTML Injection, giriş sayfasını taklit ederek sayfanın tamamen değiştirilmesine (defacement) yol açmaktadır. Bilgi tabanı makalesini okuma yetkisine sahip kimliği doğrulanmış kullanıcılar söz konusu KB makalesine göz atabilir ve eğer kimlik bilgilerini girerlerse, bu bilgiler düz metin olarak ele geçirilir. Bu güvenlik açığına, KB makalelerinde aşırı izin verici HTML düzenlemesine olanak tanınması neden olmaktadır. KB makalelerini okuma yetkisine sahip tüm kimliği doğrulanmış kullanıcılar etkilenmektedir. Birden fazla uygulaması olan bir işletmede, kötü niyetli KB makalesi diğer uygulamaların giriş sayfalarıyla eşleşecek şekilde düzenlenebilir; bu da onu diğer uygulamalara yönelik kimlik bilgisi toplama saldırıları için kullanışlı hale getirir. Versiyon 9.0.8, bu sorun için bir yama içermektedir.
Nasıl düzeltilir
- espocrm espocrm9.0.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| espocrm espocrm | v < 9.0.8 | 9.0.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.