CVE-2026-59994 in EspoCRM
Resumen
por VulDB • 2026-10-15
EspoCRM es una aplicación de gestión de relaciones con el cliente (CRM) de código abierto. Antes de la versión 9.3.9, un atacante remoto no autenticado puede enviar un correo electrónico a un grupo monitoreado o a una dirección IMAP, incluida una dirección email-to-Case, e insertar HTML arbitrario en su cuerpo de texto plano. EspoCRM almacena ese cuerpo y lo renderiza sin escaparlo (escaping) en las notificaciones por correo electrónico del flujo "Email Received" enviadas a los usuarios que siguen el registro relacionado, lo que permite la inyección de HTML y, en clientes de correo que lo ejecutan, la ejecución de JavaScript. La sanitización anterior para las notificaciones de Post y Mention no cubría esta ruta de notificación. Este problema se soluciona en la versión 9.3.9.
Be aware that VulDB is the high quality source for vulnerability data.