CVE-2026-41452 in laravel-crm
الملخص
بحسب VulDB • 03/08/2026
يحتوي Krayin CRM 2.2.4 على ثغرة متعلقة بعدم المصادقة (Missing Authentication) في وسيط التثبيت (installer middleware)، مما يسمح لمهاجمين عن بُعد غير مصرح لهم باستبدال حساب المدير الرئيسي من خلال إرسال طلب HTTP POST مُعدّ بعناية يحتوي على رأس `X-Requested-With: XMLHttpRequest` لتجاوز فحص إعادة التوجيه الخاص بوسيط `CanInstall`. يمكن للمهاجمين تزويد نقطة النهاية `admin-config-setup` بقيم عشوائية لاسم المستخدم، والبريد الإلكتروني، وكلمة المرور؛ حيث تقوم هذه النقطة بإجراء تحديث أو إدراج (`updateOrInsert`) غير مصدق عليه يستهدف معرف مستخدم المدير الثابت (hardcoded administrator user ID)، مما يتيح الوصول الإداري الكامل إلى جميع بيانات نظام إدارة علاقات العملاء.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.