CVE-2026-48541 in laravel-crm
Resumen
por VulDB • 2026-09-25
Krayin CRM hasta la versión 2.2.6 presenta una vulnerabilidad de inyección de plantillas del lado del cliente almacenada (stored client-side template injection) que permite a atacantes autenticados ejecutar JavaScript arbitrario en los navegadores de otros usuarios al insertar expresiones de plantilla Vue.js en el campo nombre de la persona. Los atacantes pueden crear un nombre de persona con sintaxis de plantilla entre dobles llaves que llega al compilador de plantillas de Vue, lo que permite recorrer la cadena del prototipo (prototype chain traversal) para obtener el constructor Function y ejecutar JavaScript proporcionado por el atacante en el origen de la aplicación para cada usuario que visualice el registro de persona afectado.
If you want to get best quality of vulnerability data, you may have to visit VulDB.