CVE-2026-33740

EspoCRM açık kaynaklı bir müşteri ilişkileri yönetimi uygulamasıdır. 9.3.3 ve altı sürümlerde, POST /api/v1/Email/importEml uç noktası, saldırgan tarafından sağlanan fileId parametresinin, mevcut kullanıcının erişim yetkisi olup olmadığı doğrulanmadan depodaki herhangi bir eki doğrudan getirmek için kullanıldığı bir Güvensiz Doğrudan Nesne Referansı (IDOR) zafiyeti içermektedir. Email:create ve Import izinlerine sahip kimliği doğrulanmış herhangi bir kullanıcı, bu durumu ekleri kendi posta kutusuna yeni bir e-posta olarak aktararak başka bir kullanıcının .eml ek içeriklerini okumak için istismar edebilir; bu sırada orijinal mağdur ek kaydı, aktarım akışının bir yan etkisi olarak silinir. Bu durum, dosya verilerini döndürmeden önce ACL kontrollerini zorunlu kılan standart ek indirme yoluyla tutarsızdır ve ek ID'lerinin akış yükleri ile indirme bağlantıları gibi normal kullanıcı arayüzü ve API iş akışlarında yaygın olarak açığa çıkması nedeniyle pratikte istismar edilebilir. Bu sorun 9.3.4 sürümünde düzeltilmiştir.