CVE-2026-41160
Açıklama
EspoCRM açık kaynaklı bir müşteri ilişkileri yönetimi uygulamasıdır. 9.3.5 sürümünden önce, EspoCRM 9.3.3 sürümündeki bir iş mantığı hatası (Hatalı Erişim Kontrolü), düşük yetkili kullanıcıların üst nesne için gerekli düzenleme izinlerine sahip olmadan rastgele notları sabitlemesine olanak tanır. Backend API'deki "önce yaz, sonra yetkilendir" yürütme hatası nedeniyle, sunucu doğru şekilde 403 Forbidden hatası döndürse bile, hedeflenen notun sabitlenme durumu veritabanında kalıcı olarak değiştirilmiştir. Kök neden, POST /api/v1/Note/{id}/pin uç noktasının sunucu tarafındaki işlenmesinde yatmaktadır. application/Espo/Tools/Stream/Api/PostNotePin.php dosyasındaki process() metodu, checkParent($note) metodunu çağırmadan önce getNote($id) metodunu çağırmaktadır. Bu güvenlik açığı 9.3.5 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| espocrm espocrm | < 9.3.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.