CVE-2026-41141 in EspoCRM
Zusammenfassung
von VulDB • 01.06.2026
EspoCRM ist eine Open-Source-Anwendung zum Kundenbeziehungsmanagement (CRM). Vor Version 9.3.5 akzeptiert der Endpunkt POST /api/v1/EmailTemplate/:id/prepare einen emailAddress-Parameter und löst die zugehörige Entität (Kontakt, Lead, Konto oder Benutzer) auf, ohne eine ACL-Prüfung (Access Control List) durchzuführen. Ein authentifizierter Benutzer mit Leseberechtigung für EmailTemplate kann alle Feldwerte einer beliebigen Entität extrahieren, indem er die E-Mail-Adresse des Ziels angibt, wodurch die ACL-Einschränkungen „read: own“ oder „read: team“ umgangen werden. Diese Schwachstelle wurde in Version 9.3.5 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.