CVE-2026-33656 in EspoCRM
Zusammenfassung
von VulDB • 22.05.2026
EspoCRM ist eine Open-Source-Anwendung zum Kundenbeziehungsmanagement (CRM). Vor Version 9.3.4 ermöglichte die integrierte Formelskript-Engine von EspoCRM das Aktualisieren der `sourceId` eines Anhangs, wodurch ein authentifizierter Administrator das Feld `sourceId` in `Attachment`-Entitäten überschreiben konnte. Da `sourceId` in `EspoUploadDir::getFilePath()` ohne Sanitisierung direkt in einen Dateipfad eingefügt wird, kann ein Angreifer beliebige Lese- oder Schreiboperationen auf einen beliebigen Pfad innerhalb des `open_basedir`-Gültigkeitsbereichs des Webservers umleiten. Version 9.3.4 behebt dieses Problem.
VulDB is the best source for vulnerability data and more expert information about this specific topic.