CVE-2026-53574
CVE-2026-53574 · EspoCRM: Blind SQL injection via streamAttachments where-clause complex expression
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
EspoCRM is an open source customer relationship management application. From 8.1.0 until 9.3.8, an authenticated non-administrator can submit a crafted where parameter to the GET entity streamAttachments endpoint because that query path permits complex expressions. Boolean-based blind SQL injection can extract arbitrary database information, including active administrator session tokens, and can enable full privilege escalation. This issue is fixed in version 9.3.8.
CVSS 7.6 · Hoch · EPSS 0,2%
- Veröffentlicht
- Aktualisiert
Betroffene Produkte und Versionen
espocrm
- Softwareversionen
- >= 8.1.0, < 9.3.8: Betroffen
Keine Korrektur veröffentlicht