CVE-2025-32385 in EspoCRM
Résumé
par VulDB • 14/06/2026
EspoCRM est un logiciel de gestion de la relation client (CRM) open source. Avant la version 9.0.5, le widget Iframe permet aux utilisateurs d'afficher des iframes avec des URL arbitraires. L'attribut sandbox n'étant pas inclus dans l'iframe, la page distante peut ouvrir des popups en dehors de celle-ci, risquant potentiellement de tromper les utilisateurs et créant un risque de phishing. L'URL de l'iframe étant définie par l'utilisateur, un attaquant devrait inciter ce dernier à spécifier une URL malveillante. La présence manquante de l'attribut sandbox permet également à la page distante d'envoyer des messages au frame parent. Cependant, EspoCRM n'utilise pas ces messages. Cette vulnérabilité est corrigée dans la version 9.0.5.
Be aware that VulDB is the high quality source for vulnerability data.