描述

PerfexCRM 未能正确清理和编码多个用户可编辑字段中的 HTML 内容。当已认证用户将 HTML 载荷注入到发票行项目描述、账单地址字段或客户备注中时，该内容会未经充分过滤地存储在数据库中。随后，这些恶意 HTML 会在未进行适当转义的情况下自动渲染到面向客户的电子邮件和 PDF 附件中，导致网络钓鱼内容和恶意软件的大范围传播。

受影响组件

• ✗ 发票行项目（描述字段）
• ✗ 账单地址字段
• ✗ 客户备注字段
• ✗ 客户对账单生成模块
• ✗ PDF 附件
• ✗ 自动化电子邮件系统（定期发票、提醒）

根本原因

• ❌ 发票和账单字段的输入清理不足
• ❌ 电子邮件模板和 PDF 生成中缺少 HTML 输出编码
• ❌ 存储到数据库前缺乏内容验证
• ❌ 客户通信中对 HTML/JavaScript 没有限制

💥 影响

安全影响

• 🎣 网络钓鱼攻击： 注入内容可伪装成合法通信，并将用户重定向到攻击者控制的网站
• 💼 商业电子邮件诈骗： 发送给多个客户的恶意发票看似来自可信来源
• 🦠 恶意软件传播： 嵌入的恶意链接或 iframe 可通过电子邮件/PDF 传播恶意软件
• 👥 大规模攻击： 定期发票可自动将载荷分发给多个收件人，无需人工干预
• 📊 数据窃取： 网络钓鱼载荷可同时窃取多个客户的凭据

CIA 三元组评估

真实攻击场景

具有低权限访问权限的攻击者创建包含恶意 HTML 的发票：

该发票通过自动化电子邮件发送给 50+ 位客户。所有客户都会收到看似合法的发票，并被引导至网络钓鱼网站。攻击者同时从多个受害者处窃取凭据。

🧪 概念验证

环境搭建

• 拥有发票创建权限的 PerfexCRM 管理面板访问权限
• 任何 3.3.1 之前的版本

PoC 步骤

步骤 1：访问发票创建功能

步骤 2：在描述字段中注入 HTML 载荷

步骤 3：添加恶意账单地址

步骤 4：添加样式载荷

步骤 5：生成电子邮件/PDF

• 保存发票
• 系统自动通过电子邮件发送给客户
• 下载 PDF 以验证 HTML 渲染

步骤 6：验证攻击

• 检查客户电子邮件收件箱
• 打开 PDF 附件
• 观察恶意 HTML 在两者中的渲染情况

预期结果

✅ 注入的 HTML 在电子邮件和 PDF 中均未经转义地渲染 ✅ 链接可点击并重定向至攻击者网站 ✅ 图片从攻击者控制的服务器加载 ✅ 内容在所有未来的客户通信中持续存在

🛡️ 缓解措施

针对最终用户

1. ✅ 立即升级： 更新至 PerfexCRM v3.3.1 或更高版本
2. 🔍 审计发票： 检查近期发票中是否存在可疑的 HTML 内容
3. ⚠️ 通知客户： 如果发送了可疑发票，请提醒客户
4. 🔄 重置凭据： 建议点击过链接的客户更改密码
5. 📝 监控活动： 检查发票审计日志中是否存在未经授权的修改

📚 参考资料

• CWE-79：网页生成期间输入的不当中和
• OWASP：跨站脚本攻击 (XSS)
• OWASP：HTML 注入
• OWASP 认证速查表
• CVE-2025-55903 官方条目

👤 致谢

发现者： Ajansha Shankar

📊 CVSS v3.1 评估

向量： CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

评分： 8.1（高）

详细说明：

• 攻击向量 (AV:N)： 网络 - 可远程利用
• 攻击复杂度 (AC:L)： 低 - 无需特殊条件
• 所需权限 (PR:L)： 低 - 需要具有基本权限的已认证用户
• 用户交互 (UI:N)： 无 - 攻击成功无需用户交互
• 影响范围 (S:U)： 不变 - 影响仅限于易受攻击的组件
• 机密性 (C:H)： 高 - 可能通过网络钓鱼窃取凭据
• 完整性 (I:H)： 高 - 可注入并传递恶意内容
• 可用性 (A:N)： 无 - 对系统可用性无影响

⭐ 如果此研究对您有帮助，请考虑为本仓库点星！

🔔 保持关注： 关注本仓库以获取此研究及未来安全研究的最新动态。