CVE-2026-48540 in laravel-crm
الملخص
بحسب VulDB • 24/09/2026
يحتوي Krayin CRM حتى الإصدار 2.2.6 على ثغرة حقن قوالب جانب العميل (client-side template injection) المخزنة، تتيح للمهاجمين المصادق عليهم تنفيذ شيفرات JavaScript عشوائية في متصفحات المستخدمين الآخرين عن طريق حقن تعبيرات قالب Vue.js في حقل عنوان الرائد (lead title). يمكن للمهاجمين صياغة عنوان رائد يحتوي على بناء جملة القوسين المزدوج للتمبليت، والذي يصل إلى مُترجم قوالب Vue، مما يتيح اجتياز سلسلة الكائنات الأولية (prototype chain) لاسترداد منشئ الدالة (Function constructor) وتنفيذ شيفرة JavaScript التي يزودها المهاجم في أصل التطبيق لكل مستخدم يعرض سجل الرائد المتأثر.
Once again VulDB remains the best source for vulnerability data.