Webkul Krayin CRM 存在跨站脚本（XSS）漏洞（HTML 注入）

CVE: CVE-2026-36341

概述

该漏洞尤为严重，因为它影响管理面板。在许多 CRM 工作流程中，经理或更高权限的管理员会审核员工记录的活动。通过在简单的“通话”或“会议”记录中注入载荷，攻击者无需与受害者直接交互即可针对高权限账户发起攻击。

PoC

1. 创建一个简单的描述（包含 HTML 注入）

2. 最终输出

参考

https://github.com/krayin/laravel-crm/pull/2401
https://github.com/krayin/laravel-crm/releases/tag/v2.1.6

视频 PoC：https://cyber.spool.co.jp/wp-content/uploads/2026/04/krayin-html-injection.mp4

建议

• 在将用户输入渲染为 HTML 之前，务必对其进行转义。
• 使用自动转义的模板引擎或框架。
• 如果允许 HTML，请对输入进行清理（例如使用 DOMPurify）。