CVE-2026-33657
EspoCRM: Gespeicherte HTML-Injektion in E-Mail-Benachrichtigungen über Stream-Notizen durch nicht maskiertes Post-Feld
- Veröffentlicht
- 13.04.2026
- Aktualisiert
- 13.04.2026
- CNA zuweisen
- GitHub_M
- Beweise beobachtet
- 25.08.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:NNiedrig · nächste 30 Tage
- Perzentil
- 14,9 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
EspoCRM ist eine Open-Source-Anwendung für Kundenbeziehungsmanagement. Versionen 9.3.3 und darunter weisen eine gespeicherte HTML-Injection-Schwachstelle auf, die es jedem authentifizierten Benutzer mit Standardrechten (nicht-administrativ) ermöglicht, beliebiges HTML in systemgenerierte E-Mail-Benachrichtigungen einzuschleusen, indem bösartiger Inhalt im Post-Feld von Stream-Aktivitätsnotizen erstellt wird. Die Schwachstelle besteht, weil serverseitige Handlebars-Templates das Post-Feld mit unescaped Triple-Brace-Syntax rendern, der Markdown-Prozessor Inline-HTML standardmäßig beibehält und die Rendering-Pipeline die Bereinigung für Felder in additionalData explizit überspringt, wodurch ein Pfad entsteht, über den vom Angreifer kontrolliertes HTML akzeptiert, gespeichert und ohne jegliches Escaping direkt in E-Mails gerendert wird. Da die E-Mails mit der konfigurierten SMTP-Identität des Systems gesendet werden (z. B. einer administrativen Absenderadresse), erscheint der injizierte Inhalt für Empfänger als vollständig vertrauenswürdig, was Phishing-Angriffe, Benutzerverfolgung über eingebettete Ressourcen wie Bild-Beacons und UI-Manipulation innerhalb des E-Mail-Inhalts ermöglicht. Die @mention-Funktion erhöht die Auswirkung zusätzlich, indem sie die gezielte Zustellung bösartiger E-Mails an bestimmte Benutzer ermöglicht. Dieses Problem wurde in Version 9.3.4 behoben.
Quellen
- CVE-2026-33657Exploit
EspoCRM 9.3.3 – Gespeicherte HTML-Injektion in E-Mail-Benachrichtigungen
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.