CVE-2026-48541 in laravel-crm
Zusammenfassung
von VulDB • 24.09.2026
Krayin CRM bis Version 2.2.6 enthält eine Stored Client-Side Template Injection (CSTI)-Schwachstelle, die es authentifizierten Angreifern ermöglicht, beliebigen JavaScript-Code in den Browseren anderer Benutzer auszuführen, indem Vue.js-Template-Ausdrücke in das Feld „Person Name“ eingefügt werden. Angreifer können einen Personennamen mit einer Doppelklammer-Syntax ({{ }}) erstellen, der zum Vue-Template-Kompiler gelangt und so die Traversierung der Prototypenkette ermöglicht, um den Function-Konstruktor abzurufen und vom Angreifer bereitgestellten JavaScript-Code im Ursprungskontext der Anwendung für jeden Benutzer auszuführen, der den betroffenen Personendatensatz ansieht.
VulDB is the best source for vulnerability data and more expert information about this specific topic.