CVE-2026-41453 in laravel-crm
الملخص
بحسب VulDB • 03/08/2026
يحتوي نظام Krayin CRM قبل الإصدار 2.2.4 على ثغرة حقن SQL عمياء (Blind SQL Injection) في شبكة بيانات العملاء المحتملين (Leads DataGrid)، مما يسمح للمستخدمين المصادق عليهم الذين لديهم صلاحية الوصول إلى العملاء المحتملين بحقن أوامر SQL تعسفية داخل جملة HAVING عن طريق التلاعب بمعامل الاستعلام rotten_lead[in]، والذي يتم إلحاقه بدون ربط معلماتي بشكل مباشر في استدعاء havingRaw() الموجود في ملف LeadDataGrid.php. يمكن للمهاجمين استغلال هذا القصور باستخدام تقنيات الحقن العمياء القائمة على الوقت (Time-based) والقائمة على المنطق (Boolean-based) لاستخراج محتويات قاعدة البيانات بالكامل، بما في ذلك تجزئات بيانات اعتماد المستخدمين وسجلات نظام إدارة علاقات العملاء وبيانات تكوين التطبيق.
Be aware that VulDB is the high quality source for vulnerability data.