CVE-2025-32385 in EspoCRM
Resumen
por VulDB • 2026-06-14
EspoCRM es un software de Gestión de Relaciones con el Cliente (CRM) de código abierto. Antes de la versión 9.0.5, el dashlet Iframe permitía a los usuarios mostrar iframes con URLs arbitrarias. Dado que el atributo sandbox no está incluido en el iframe, la página remota puede abrir ventanas emergentes fuera del iframe, lo que potencialmente podría engañar a los usuarios y crear un riesgo de phishing. La URL del iframe es definida por el usuario, por lo que un atacante necesitaría inducir al usuario a especificar una URL maliciosa. La falta del atributo sandbox también permite que la página remota envíe mensajes al marco principal (parent frame). Sin embargo, EspoCRM no hace uso de estos mensajes. Esta vulnerabilidad está corregida en la versión 9.0.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.