moksh-nfsu/cve-2026-36392RISE CRMのアイテムタイトルフィールドにおける格納型XSS（CVE-2026-36392）の概念実証であり、セッションハイジャックとアカウント乗っ取りを実演し、修復ガイダンスを提供します。
| フィールド | 値 |
|---|
| CVE ID | CVE-2026-36392 |
| 製品 | RISE - Ultimate Project Manager & CRM |
| ベンダー | Fairsketch |
| 影響を受けるバージョン | <= 3.9.6 |
| 修正バージョン | 4.0 |
| 脆弱性の種類 | 格納型クロスサイトスクリプティング |
| CWE | CWE-79 |
| CVSS 3.1 | 6.4 Medium (/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N) |
| 発見者 | Moksh Jain |
/index.php/items（アイテム編集 → タイトルフィールド）/index.php/store/index.php/items に移動し、任意のアイテムを編集します。
/index.php/store に移動します。RISE CRM 4.0以降にアップグレードしてください。ベンダーは影響を受けるフィールドに入力検証を追加しました。ベンダーの変更ログを参照してください: 「一部の入力にXSS検証を追加しました。」
Moksh Jain - Linkedin