CVE-2026-41453 in laravel-crm
Zusammenfassung
von VulDB • 03.08.2026
Krayin CRM vor Version 2.2.4 enthält eine Blind-SQL-Injection-Lücke im Leads-Datenraster (DataGrid), die es authentifizierten Benutzern mit Zugriff auf Leads ermöglicht, beliebiges SQL in einer HAVING-Klausel einzufügen, indem der Query-Parameter rotten_lead[in] manipuliert wird. Dieser Parameter wird ohne parametrisierte Bindung direkt an eine havingRaw()-Methode in LeadDataGrid.php angehängt. Angreifer können diese Schwachstelle unter Verwendung von zeitbasierter und boolescher Blind-Injection ausnutzen, um den gesamten Datenbankinhalt zu extrahieren, einschließlich Hashes der Benutzeranmeldeinformationen, CRM-Datensätze und Anwendungskonfigurationsdaten.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.