⚠️ セキュリティアドバイザリ
請求書、請求先情報、自動化された通信に影響を与える重大な保存型HTMLインジェクションの脆弱性
PerfexCRMにおいて、認証済みユーザーが請求書の説明文、請求先住所、顧客メモに悪意のあるHTMLを注入できる保存型HTMLインジェクションの脆弱性が発見されました。注入されたコンテンツはデータベースに永続化され、顧客向けメールやPDF添付ファイルで自動的にレンダリングされるため、大規模なフィッシング攻撃、ビジネスメール詐欺（BEC）、マルウェア配布が可能になります。
| 属性 | 値 |
|---|
| CVE ID | CVE-2025-55903 |
| タイプ | 保存型HTMLインジェクション |
| 攻撃ベクトル | ネットワーク/リモート |
| 認証 | 必要（低権限） |
| ユーザー操作 | 不要 |
| 深刻度 | 高（HIGH） |
| CVSS v3.1 | 8.1 - 高 |
| 発見者 | Ajansha Shankar |
PerfexCRMは、複数のユーザー編集可能フィールドにおけるHTMLコンテンツのサニタイズとエンコードを適切に行っていません。認証済みユーザーが請求書の明細項目の説明文、請求先住所フィールド、または顧客メモにHTMLペイロードを注入すると、そのコンテンツは適切なフィルタリングなしでデータベースに保存されます。その後、この悪意のあるHTMLは適切なエスケープ処理なしに顧客向けメールやPDF添付ファイルで自動的にレンダリングされ、フィッシングコンテンツやマルウェアが広範囲に配布されることになります。
| 要素 | 影響 | 説明 |
|---|---|---|
| 機密性 | 🔴 高 | フィッシングにより顧客の認証情報や機密データが収集される可能性 |
| 完全性 | 🔴 高 | 悪意のあるコンテンツにより通信内容の認識が改ざんされる可能性 |
| 可用性 | 🟡 低 | システムの可用性への直接的な影響は限定的 |
低権限アクセスを持つ攻撃者が、悪意のあるHTMLを含む請求書を作成します:
-ff6600){kind=icon}
<a href="https://attacker.com/fake-login">Click here to verify payment</a>
この請求書は自動メールで50人以上の顧客に送信されます。すべての顧客は、フィッシングサイトへ誘導する正規の請求書のように見えるものを受信します。攻撃者は複数の被害者から同時に認証情報を収集します。
移動先: PerfexCRM管理ダッシュボード → 請求書 → 新規請求書の作成
<a href="https://attacker.com">Click here to view invoice</a>
<a href="https://evil.com" target="_blank">
<img src="https://media1.giphy.com/media/v1.Y2lkPTc5MGI3NjExbzg4OXRuZHd4MXF0bWNqa3BvN2pzbWdqMzRxZHc5bHJpbXpucHNtaSZlcD12MV9pbnRlcm5hbF9naWZfYnlfaWQmY3Q9Zw/9PgvV8ale90lQwfQTZ/giphy.gif">
</a>
<h1><font color=red>Visit Our New WebSite</font></h1>
<h3><mark><a href="https://evil.com">https://www.paytm.com/</a></mark></h3>
✅ 注入されたHTMLがエスケープ処理なしでメールとPDFの両方にレンダリングされる ✅ リンクがクリック可能で、攻撃者のサイトへリダイレクトされる ✅ 攻撃者が管理するサーバーから画像が読み込まれる ✅ コンテンツが将来のすべての顧客向け通信に永続化される
発見者: Ajansha Shankar
ベクター: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
スコア: 8.1（高）
内訳:
⭐ この調査が役に立った場合は、このリポジトリにスターを付けることをご検討ください！
🔔 最新情報の入手: このリポジトリをウォッチして、本件および今後のセキュリティ調査の最新情報を入手してください。