CVE-2026-61460

Krayin CRM 2.2.4 zawiera brak uwierzytelnienia w oprogramowaniu instalatora, co pozwala nieuwierzytelnionym zdalnym atakującym na nadpisanie głównego konta administratora poprzez wysłanie spreparowanego żądania HTTP POST z nagłówkiem X-Requested-With: XMLHttpRequest, aby ominąć sprawdzenie przekierowania CanInstall. Atakujący mogą podać dowolne wartości nazwy, e-maila i hasła do punktu końcowego admin-config-setup, który wykonuje nieuwierzytelnioną operację updateOrInsert na zakodowanym na stałe identyfikatorze użytkownika administratora, umożliwiając pełny dostęp administracyjny do wszystkich danych CRM.

Krayin CRM w wersjach od 2.2.5 do 2.2.7 zawiera obejście filtra SSRF, które pozwala użytkownikom z uprawnieniami do webhooków na dostęp do adresów wewnętrznych poprzez DNS rebinding. Atakujący może wysyłać ślepe żądania do usług wewnętrznych i punktów metadanych chmury.

W Krayin CRM przed wersją 2.2.7 występuje podatność broken object level authorization w akcjach zapisu EmailController. Użytkownicy z ograniczonym zakresem mogą manipulować e-mailami innych użytkowników, podając ich numeryczne identyfikatory, oraz wywoływać akcje update, destroy, mass-update i mass-destroy.

Krayin CRM przed wersją 2.2.7 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom z ograniczonym zakresem czytać oferty innych użytkowników poprzez obejście kontroli zakresu danych w QuoteController. Atakujący może odpytywać endpointy wyszukiwania ofert i lead-products, aby uzyskać adresy, kwoty, dane kontaktowe i ceny produktów należące do dowolnego użytkownika lub leada.

Krayin CRM do wersji 2.2.6 zawiera podatność typu stored client-side template injection, która pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu JavaScript w przeglądarkach innych użytkowników poprzez wstrzyknięcie wyrażeń szablonu Vue.js w polu opisu formularza internetowego. Atakujący może utworzyć opis zawierający podwójne nawiasy klamrowe, co prowadzi do wykonania złośliwego kodu dla każdego użytkownika przeglądającego formularz.

Krayin CRM do wersji 2.2.6 zawiera podatność typu stored client-side template injection, która pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu JavaScript w przeglądarkach innych użytkowników poprzez wstrzyknięcie wyrażeń szablonu Vue.js w polu nazwy produktu. Atakujący może utworzyć nazwę produktu zawierającą podwójne nawiasy klamrowe, co prowadzi do wykonania złośliwego kodu dla każdego użytkownika przeglądającego rekord produktu.

Krayin CRM do wersji 2.2.6 zawiera podatność typu stored client-side template injection, która pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu JavaScript w przeglądarkach innych użytkowników poprzez wstrzyknięcie wyrażeń szablonu Vue.js w polu nazwy osoby. Atakujący może utworzyć nazwę osoby zawierającą podwójne nawiasy klamrowe, co prowadzi do wykonania złośliwego kodu dla każdego użytkownika przeglądającego rekord osoby.

Krayin CRM do wersji 2.2.6 zawiera podatność typu stored client-side template injection, która pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu JavaScript w przeglądarkach innych użytkowników poprzez wstrzyknięcie wyrażeń szablonu Vue.js w polu tytułu leada. Atakujący może utworzyć tytuł leada zawierający podwójne nawiasy klamrowe, co prowadzi do wykonania złośliwego kodu dla każdego użytkownika przeglądającego rekord leada.

Krayin CRM do wersji 2.2.6 udostępnia punkt końcowy POST /admin/mail/inbound-parse bez uwierzytelnienia, co pozwala nieuwierzytelnionym atakującym na wstrzykiwanie dowolnych wiadomości e-mail do skrzynki odbiorczej CRM. Atakujący mogą dostarczyć spreparowane wiadomości RFC 2822 ze sfałszowanymi informacjami o nadawcy i nagłówkami, aby wstawić wiadomości o dowolnym temacie i treści, w tym odpowiedzi do istniejących wątków konwersacji.

Krayin CRM przed wersją 2.2.4 zawiera podatność na ślepą iniekcję SQL w DataGrid leadów, która pozwala uwierzytelnionym użytkownikom z dostępem do leadów na wstrzyknięcie dowolnego SQL do klauzuli HAVING poprzez manipulację parametrem zapytania rotten_lead[in]. Parametr jest konkatenowany bez parametryzowanego wiązania bezpośrednio w wywołaniu havingRaw() w LeadDataGrid.php. Atakujący mogą wykorzystać tę wadę za pomocą technik iniekcji ślepej opartej na czasie i wartościach logicznych, aby wyodrębnić całą zawartość bazy danych, w tym skróty haseł użytkowników, rekordy CRM i dane konfiguracyjne aplikacji.