CVE-2025-59428
Açıklama
EspoCRM açık kaynaklı bir müşteri ilişkileri yönetimi uygulamasıdır. 9.1.9 öncesindeki sürümlerde, depolanmış SVG enjeksiyonu ve CSRF koruması eksikliğinin kombinasyonu aracılığıyla, yönetici hesapları da dahil olmak üzere rastgele kullanıcı oluşturulmasına izin veren bir güvenlik açığı bulunmaktadır. Bilgi Tabanı düzenleme yetkilerine sahip bir saldırgan, bir makalenin gövde alanına bağlantı içeren kötü amaçlı bir SVG öğesi yerleştirebilir. Kimliği doğrulanmış bir kullanıcı bu kötü amaçlı bağlantıya tıkladığında, api/v1/User uç noktasına karşı bir CSRF isteği gerçekleştiren ve saldırgan tarafından kontrol edilen bir HTML sayfasına yönlendirilir. Kurbanın kimlik bilgileri istenirse ve bunları girerse, CSRF yükü tarafından belirlenen ayrıcalıklara sahip, saldırgan tarafından kontrol edilen bir hesap oluşturulur. Bu sorun 9.1.9 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- espocrm espocrm9.1.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| espocrm espocrm | v < 9.1.9 | 9.1.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.