CVE-2026-53574
CVE-2026-53574 · EspoCRM: Blind SQL injection via streamAttachments where-clause complex expression
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
EspoCRM is an open source customer relationship management application. From 8.1.0 until 9.3.8, an authenticated non-administrator can submit a crafted where parameter to the GET entity streamAttachments endpoint because that query path permits complex expressions. Boolean-based blind SQL injection can extract arbitrary database information, including active administrator session tokens, and can enable full privilege escalation. This issue is fixed in version 9.3.8.
CVSS 7.6 · Высокий · EPSS 0,2%
- Опубликовано
- Обновлено
Затронутые продукты и версии
espocrm
- Версии
- >= 8.1.0, < 9.3.8: Затронуто
Нет опубликованного исправления