CVE-2026-7782
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W CodeCanyon Perfex CRM do wersji 3.4.1 wykryto podatność w funkcji Clients::project w pliku application/controllers/Clients.php komponentu Tenant Handler. Manipulacja argumentem ID prowadzi do obejścia autoryzacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może uzyskać dostęp do danych lub funkcji innych najemców (tenantów), naruszając izolację i poufność. Publiczny exploit zwiększa ryzyko wykorzystania.
Rekomendacja
Wdróż kontrolę uprawnień po stronie serwera dla argumentu ID w funkcji Clients::project i zaktualizuj Perfex CRM, gdy dostępna będzie poprawka. Ogranicz dostęp do aplikacji do zaufanych sieci.
Inne podatności w Perfex CRM
Zobacz wszystkie- CVE-2026-7783Średnie
W CodeCanyon Perfex CRM do wersji 3.4.1 funkcja AbstractKanban::applySortQuery w pliku application/services/AbstractKanban.php (komponent Admin Kanban Endpoint) jest podatna na SQL injection poprzez manipulację argumentem this. Atak można zainicjować zdalnie, a exploit został opublikowany i może być użyty.
- CVE-2025-10346Średnie
W Perfex CRM v3.2.1 występuje podatność na wstrzyknięcie kodu HTML (stored HTML injection) z powodu braku odpowiedniej walidacji danych wejściowych. Atakujący może wysłać żądanie POST z parametrem 'subject' do punktu końcowego 'knowledge_base/article', co prowadzi do przechowania złośliwego kodu HTML.
- CVE-2025-10345Średnie
Perfex CRM w wersji 3.2.1 zawiera podatność typu stored HTML injection wynikającą z braku właściwej walidacji danych wejściowych użytkownika. Wstrzyknięcie następuje poprzez wysłanie żądania POST z parametrami 'name' i 'address' do punktu końcowego 'admin/leads/lead'.
- CVE-2025-10344Średnie
Perfex CRM w wersji 3.2.1 zawiera podatność typu stored HTML injection wynikającą z braku właściwej walidacji danych wejściowych użytkownika. Wstrzyknięcie następuje poprzez wysłanie żądania POST z parametrami 'name' i 'clientid' do punktu końcowego '/projects/project/x'.
- CVE-2025-10343Średnie
Perfex CRM w wersji 3.2.1 zawiera podatność typu stored HTML injection wynikającą z braku właściwej walidacji danych wejściowych użytkownika. Wstrzyknięcie następuje poprzez wysłanie żądania POST z parametrem 'expense_name' do punktu końcowego '/expenses/expense'.
- CVE-2025-10342Średnie
Perfex CRM w wersji 3.2.1 zawiera podatność typu stored HTML injection wynikającą z braku właściwej walidacji danych wejściowych użytkownika. Wstrzyknięcie następuje poprzez wysłanie żądania POST z parametrem 'name' do punktu końcowego '/subscriptions/create'.
- CVE-2025-10341Średnie
W Perfex CRM w wersji 3.2.1 występuje podatność na wstrzyknięcie kodu HTML (stored HTML injection). Wynika ona z braku odpowiedniej walidacji danych wejściowych przesyłanych metodą POST w parametrze 'company' na endpointcie '/clients/client/x'.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in CodeCanyon Perfex CRM up to 3.4.1. This affects the function Clients::project of the file application/controllers/Clients.php of the component Tenant Handler. The manipulation of the argument ID results in authorization bypass. The attack may be performed from remote. The exploit is now public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS