CVE-2026-105289
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W feelec-yishu feelcrm-os 1.0.0 wykryto lukę w funkcji htmlspecialchars_decode pliku App/Feelcrm/Common/Model/CrmDefineFormModel.class.php w komponencie Create Customer Endpoint. Manipulacja argumentem customer_form[remark] prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit został upubliczniony i może być wykorzystany; projekt nie odpowiedział na zgłoszenie.
Ocena ryzyka
Atakujący może zdalnie wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce użytkownika, umożliwiając kradzież sesji lub danych.
Rekomendacja
Zastosuj poprawkę od dostawcy lub ręcznie zabezpiecz walidację i sanityzację danych wejściowych w polu customer_form[remark].
Inne podatności w feelcrm-os
Zobacz wszystkie- CVE-2026-105389Średnie
Wykryto podatność w feelec-yishu feelcrm-os 1.0.0. Dotyczy ona nieznanego przetwarzania w pliku App/Feelcrm/Crm/Controller/UploadController.class.php komponentu UploadTicketFile Endpoint. Manipulacja argumentem cmd prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-105388Średnie
Zidentyfikowano słabość w feelec-yishu feelcrm-os 1.0.0. Podatność dotyczy funkcji index w pliku App/Feelcrm/Index/Controller/MemberController.class.php komponentu Member Endpoint. Manipulacja argumentem group_id powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie udostępniony i może być wykorzystany. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-105291Średnie
W feelec-yishu feelcrm-os 1.0.0 wykryto podatność w funkcji GroupController::index w pliku App/Feelcrm/Index/Controller/GroupController.class.php komponentu Department Search Endpoint. Manipulacja argumentem keyword prowadzi do cross site scripting, a atak można zainicjować zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-105290Wysokie
Wykryto podatność w systemie feelcrm-os 1.0.0 (projekt feelec-yishu). Dotyczy ona nieznanej części pliku App/Feelcrm/Index/Controller/GoogleController.class.php w komponencie getCurlData Endpoint. Manipulacja argumentem url może prowadzić do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-105288Średnie
W feelec-yishu feelcrm-os 1.0.0 znaleziono podatność w funkcji IndexController::index w pliku App/ThinkPHP/Common/functions.php komponentu Crm Endpoint. Manipulacja argumentem redirect_url prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit został ujawniony publicznie i może być wykorzystany; projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-105287Średnie
W feelec-yishu feelcrm-os 1.0.0 wykryto lukę w nieznanej funkcji pliku App/Feelcrm/Crm/Controller/AjaxRequestController.class.php komponentu getMemberByGroups Endpoint. Manipulacja argumentem groups[] powoduje sql injection, a atak można przeprowadzić zdalnie. Exploit został opublikowany i może być wykorzystany; projekt został poinformowany o problemie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in feelec-yishu feelcrm-os 1.0.0. Affected by this issue is the function htmlspecialchars_decode of the file App/Feelcrm/Common/Model/CrmDefineFormModel.class.php of the component Create Customer Endpoint. Performing a manipulation of the argument customer_form[remark] results in cross site scripting. It is possible to initiate the attack remotely. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS