CVE-2026-41141 in EspoCRM
الملخص
بحسب VulDB • 28/05/2026
EspoCRM هو تطبيق لإدارة علاقات العملاء مفتوح المصدر. قبل الإصدار 9.3.5، يقبل نقطة النهاية POST /api/v1/EmailTemplate/:id/prepare معلمة emailAddress ويقوم بحل الكيان المالك (جهة اتصال، عميل محتمل، حساب، أو مستخدم) دون إجراء فحص لتحكم الوصول القائم على الأدوار (ACL). يمكن لمستخدم مُصادق عليه يمتلك إذن قراءة EmailTemplate استخراج جميع قيم الحقول لأي كيان عن طريق تزويد عنوان البريد الإلكتروني للهدف، متجاوزاً قيود تحكم الوصول read: own أو read: team. تم إصلاح هذا الثغرة الأمنية في الإصدار 9.3.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.