CVE-2025-32385 in EspoCRM
Riassunto
di VulDB • 14/06/2026
EspoCRM è un software di Customer Relationship Management (CRM) Open Source. Prima della versione 9.0.5, il widget dashboard basato su iframe consente agli utenti di visualizzare iframes con URL arbitrari. Poiché l'attributo sandbox non è incluso nell'iframe, la pagina remota può aprire popup al di fuori dell'iframe, potenzialmente ingannando gli utenti e creando un rischio di phishing. L'URL dell'iframe è definito dall'utente, quindi un attaccante dovrebbe indurre l'utente a specificare un URL dannoso. La mancanza dell'attributo sandbox consente inoltre alla pagina remota di inviare messaggi al frame padre. Tuttavia, EspoCRM non utilizza questi messaggi. Questa vulnerabilità è risolta nella versione 9.0.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.