CVE-2026-33657

ملخص

EspoCRM هو تطبيق مفتوح المصدر لإدارة علاقات العملاء. الإصدارات 9.3.3 وما دونها تحتوي على ثغرة حقن HTML مخزّن تسمح لأي مستخدم مُصادق عليه بصلاحيات قياسية (غير إدارية) بحقن HTML عشوائي في إشعارات البريد الإلكتروني المُولّدة من النظام من خلال صياغة محتوى خبيث في حقل المنشور لملاحظات نشاط الموجز. توجد الثغرة لأن قوالب Handlebars من جانب الخادم تعرض حقل المنشور باستخدام صيغة الأقواس الثلاثية غير المُهرَّبة، كما أن معالج Markdown يحافظ على HTML المضمّن افتراضيًا، وخط الأنابيب العرضي يتخطى صراحةً التعقيم للحقول الموجودة في additionalData، مما يُنشئ مسارًا يتم فيه قبول HTML المتحكم فيه من المهاجم وتخزينه وعرضه مباشرةً في رسائل البريد الإلكتروني دون أي تهريب. نظرًا لأن رسائل البريد الإلكتروني تُرسل باستخدام هوية SMTP المُهيأة للنظام (مثل عنوان مرسل إداري)، يظهر المحتوى المُحقون موثوقًا تمامًا للمستلمين، مما يتيح هجمات التصيد، وتتبع المستخدمين عبر موارد مضمّنة مثل إشارات الصور، والتلاعب بواجهة المستخدم داخل محتوى البريد الإلكتروني. كما تزيد ميزة @mention من الأثر من خلال السماح بالتسليم الموجّه لرسائل البريد الإلكتروني الخبيثة إلى مستخدمين محددين. تم إصلاح هذه المشكلة في الإصدار 9.3.4.

• CVE-2026-33657استغلال

  # EspoCRM 9.3.3 - حقن HTML مخزّن في إشعارات البريد الإلكتروني