Skip to content
KitploitKITPLOIT
ToolsExploitsBlog
Log in
Einreichen
ToolsExploitsBlog
Einreichen

Hacking-, PenTest- und Cybersicherheits-Tools für Ihr Sicherheitsarsenal!

Kitploit ist ein Verzeichnis von Hacking-, Cybersicherheits- und Pentesting-Tools. Entdecken Sie die neuesten Projekt-Updates, um Schwachstellen zu finden, Systeme zu analysieren, Tests zu automatisieren und Ihre Sicherheit zu stärken.

FeedsKontaktDatenschutz© 2026 Kitploit

Tool-Verzeichnis

Kategorien

Alle Kategorien anzeigen
Loading categories
CVE-2026-36341 — Cross-Site-Scripting (XSS)-Schwachstelle besteht in Webkul Krayin CRM (HTML-Injection) | Kitploit
Tools/GitHubGitHub/cybercrewinc/cve-2026-36341
SchwachstellenanalyseExploitationWebanwendungs-ExploitationWebsicherheitLernen & Bildung
GitHubcybercrewinc/cve-2026-36341

CVE-2026-36341

Cross-Site-Scripting (XSS)-Schwachstelle besteht in Webkul Krayin CRM (HTML-Injection)

Repository anzeigen
7vor 5 MonatenNoch nicht geprüft

Beliebteste

Alle anzeigen →

Entdecken Sie die meistgenutzten Tools unserer Community.

Alle Tools erkunden

Durchsuchen Sie unsere Tool-Sammlung

Alle Tools anzeigen →
Teilen

Cross-Site Scripting (XSS)-Schwachstelle in Webkul Krayin CRM (HTML-Injection)

CVE: CVE-2026-36341

Zusammenfassung

Die Schwachstelle ist besonders kritisch, da sie das Admin-Panel betrifft. In vielen CRM-Workflows überprüfen Manager oder Administratoren mit höheren Berechtigungen die von Mitarbeitern protokollierten Aktivitäten. Durch das Injizieren einer Payload in einen einfachen „Anruf“- oder „Besprechungs“-Protokolleintrag kann ein Angreifer Konten mit hohen Privilegien angreifen, ohne direkt mit dem Opfer zu interagieren.

PoC

  1. Erstellen Sie eine einfache Beschreibung (mit HTML-Injection)
Pasted image 20260430072720
  1. Endausgabe Pasted image 20260430072811

Referenzen

https://github.com/krayin/laravel-crm/pull/2401
https://github.com/krayin/laravel-crm/releases/tag/v2.1.6

Video-PoC: https://cyber.spool.co.jp/wp-content/uploads/2026/04/krayin-html-injection.mp4

Empfehlungen

  • Escapen Sie Benutzereingaben immer, bevor Sie sie in HTML rendern.
  • Verwenden Sie Template-Engines oder Frameworks mit automatischem Escaping.
  • Bereinigen Sie Eingaben, wenn Sie HTML erlauben (z. B. mit DOMPurify).
  • Vermeiden Sie die Verwendung von innerHTML mit Benutzerdaten; verwenden Sie stattdessen textContent.
  • Vertrauen Sie niemals gespeicherten Daten – behandeln Sie sie bei der Ausgabe als unsicher.

Auswirkungen

  • Angreifer können Sitzungscookies von Benutzern stehlen und Konten übernehmen.
  • Bösartige Skripte können im Browser jedes Benutzers ausgeführt werden, der die infizierte Seite aufruft.
  • Sensible Daten (Tokens, persönliche Informationen) können vom Opfer extrahiert werden.
  • Angreifer können ohne Zustimmung der Benutzer Aktionen in deren Namen ausführen.
  • Admin-Konten können kompromittiert werden, wenn sie den bösartigen Inhalt anzeigen.Pasted image 20260430072720
Tool herunterladen