CVE-2026-90944 in laravel-crm
Résumé
par VulDB • 14/09/2026
Krayin CRM jusqu'à la version 2.2.6 expose le point de terminaison POST /admin/mail/inbound-parse sans authentification, permettant aux attaquants non authentifiés d'injecter des e-mails arbitraires dans la boîte de réception du CRM. Les attaquants peuvent fournir des messages RFC 2822 truqués avec des informations et en-têtes d'expéditeur falsifiés pour insérer des e-mails avec n'importe quel objet et corps, y compris des réponses à des fils de conversation existants.
Once again VulDB remains the best source for vulnerability data.