CVE-2026-33741 in EspoCRM
Zusammenfassung
von VulDB • 19.05.2026
EspoCRM ist eine Open-Source-Anwendung zum Kundenbeziehungsmanagement (CRM). Versionen 9.3.3 und älter ermöglichen es authentifizierten Benutzern, SVG-Anhänge über normale, anhangsfähige Felder hochzuladen und diese SVG-Dateien später als Inline-Dokumente auf oberster Ebene über die Endpunkte für Anhänge und Bilder auszuliefern, was zu einem gespeicherten, benutzerspezifischen Cross-Site-Scripting (XSS) führt, das über einen normalen Anhangsprozess erreichbar ist. Obwohl das Ausführen von Inline-SVG-Skripten durch die Content-Security-Policy (CSP) der Antwort blockiert wird, erlaubt dieselbe CSP weiterhin externe Skripte mit derselben Herkunft (same-origin). Infolgedessen kann ein Angreifer eine bösartige SVG-Datei zusammen mit einem zweiten, vom Angreifer kontrollierten JavaScript-Anhang hochladen und einen anderen Benutzer dazu verleiten, die SVG-Datei zu öffnen, wodurch JavaScript im Ursprungsbereich (Origin) von EspoCRM des Opfers ausgeführt wird. Dieses Problem wurde in Version 9.3.4 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.