CVE-2026-33657
EspoCRM: Хранимая HTML-инъекция в email-уведомлениях о заметках ленты через неэкранированное поле post
- Опубликовано
- 13 апр. 2026 г.
- Обновлено
- 13 апр. 2026 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 25 авг. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:NНизкий · следующие 30 дней
- Процентиль
- 14,9 %
- Дата модели
- 15 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
EspoCRM — это приложение с открытым исходным кодом для управления взаимоотношениями с клиентами. Версии 9.3.3 и ниже содержат уязвимость хранимого HTML-инъекции, которая позволяет любому аутентифицированному пользователю со стандартными (не административными) привилегиями внедрять произвольный HTML в создаваемые системой уведомления по электронной почте, формируя вредоносный контент в поле post заметок активности потока. Уязвимость существует из-за того, что серверные шаблоны Handlebars отображают поле post с использованием неэкранированного синтаксиса тройных фигурных скобок, процессор Markdown по умолчанию сохраняет встроенный HTML, а конвейер рендеринга явно пропускает санитизацию для полей, присутствующих в additionalData, создавая путь, по которому управляемый атакующим HTML принимается, сохраняется и отображается непосредственно в письмах без какого-либо экранирования. Поскольку письма отправляются с использованием настроенной SMTP-идентичности системы (например, административного адреса отправителя), внедрённый контент выглядит для получателей полностью доверенным, что позволяет проводить фишинговые атаки, отслеживать пользователей с помощью встроенных ресурсов, таких как маячки-изображения, и манипулировать интерфейсом внутри содержимого письма. Функция @mention дополнительно повышает уровень воздействия, позволяя адресно доставлять вредоносные письма конкретным пользователям. Эта проблема исправлена в версии 9.3.4.
Источники
- CVE-2026-33657Эксплойт
EspoCRM 9.3.3 — Хранимая HTML-инъекция в email-уведомлениях
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.