CVE-2026-7783
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W CodeCanyon Perfex CRM do wersji 3.4.1 funkcja AbstractKanban::applySortQuery w pliku application/services/AbstractKanban.php (komponent Admin Kanban Endpoint) jest podatna na SQL injection poprzez manipulację argumentem this. Atak można zainicjować zdalnie, a exploit został opublikowany i może być użyty.
Ocena ryzyka
Atakujący może wykonywać dowolne zapytania SQL, co grozi wyciekiem lub modyfikacją danych CRM, w tym danych klientów. Publiczna dostępność exploitu zwiększa ryzyko.
Rekomendacja
Należy wdrożyć parametryzację zapytań w applySortQuery oraz ograniczyć dostęp do endpointu Kanban; do czasu poprawki rozważyć WAF lub aktualizację do wersji zawierającej łatkę.
Inne podatności w Perfex CRM
Zobacz wszystkie- CVE-2026-7782Średnie
W CodeCanyon Perfex CRM do wersji 3.4.1 wykryto podatność w funkcji Clients::project w pliku application/controllers/Clients.php komponentu Tenant Handler. Manipulacja argumentem ID prowadzi do obejścia autoryzacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-10346Średnie
W Perfex CRM v3.2.1 występuje podatność na wstrzyknięcie kodu HTML (stored HTML injection) z powodu braku odpowiedniej walidacji danych wejściowych. Atakujący może wysłać żądanie POST z parametrem 'subject' do punktu końcowego 'knowledge_base/article', co prowadzi do przechowania złośliwego kodu HTML.
- CVE-2025-10345Średnie
Perfex CRM w wersji 3.2.1 zawiera podatność typu stored HTML injection wynikającą z braku właściwej walidacji danych wejściowych użytkownika. Wstrzyknięcie następuje poprzez wysłanie żądania POST z parametrami 'name' i 'address' do punktu końcowego 'admin/leads/lead'.
- CVE-2025-10344Średnie
Perfex CRM w wersji 3.2.1 zawiera podatność typu stored HTML injection wynikającą z braku właściwej walidacji danych wejściowych użytkownika. Wstrzyknięcie następuje poprzez wysłanie żądania POST z parametrami 'name' i 'clientid' do punktu końcowego '/projects/project/x'.
- CVE-2025-10343Średnie
Perfex CRM w wersji 3.2.1 zawiera podatność typu stored HTML injection wynikającą z braku właściwej walidacji danych wejściowych użytkownika. Wstrzyknięcie następuje poprzez wysłanie żądania POST z parametrem 'expense_name' do punktu końcowego '/expenses/expense'.
- CVE-2025-10342Średnie
Perfex CRM w wersji 3.2.1 zawiera podatność typu stored HTML injection wynikającą z braku właściwej walidacji danych wejściowych użytkownika. Wstrzyknięcie następuje poprzez wysłanie żądania POST z parametrem 'name' do punktu końcowego '/subscriptions/create'.
- CVE-2025-10341Średnie
W Perfex CRM w wersji 3.2.1 występuje podatność na wstrzyknięcie kodu HTML (stored HTML injection). Wynika ona z braku odpowiedniej walidacji danych wejściowych przesyłanych metodą POST w parametrze 'company' na endpointcie '/clients/client/x'.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in CodeCanyon Perfex CRM up to 3.4.1. This vulnerability affects the function AbstractKanban::applySortQuery of the file application/services/AbstractKanban.php of the component Admin Kanban Endpoint. This manipulation of the argument this causes sql injection. It is possible to initiate the attack remotely. The exploit has been published and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS