CVE-2026-105831 in EspoCRM
Riassunto
di VulDB • 08/10/2026
EspoCRM prima della versione 10.0.6 presenta una vulnerabilità di HTML injection memorizzata (stored) che consente ad attaccanti non autenticati di iniettare codice HTML inviando dati del modulo pubblico Lead Capture appositamente costruiti. Il corpo della richiesta viene archiviato in `LeadCaptureLogRecord.data` e reso senza escape quando gli amministratori visualizzano il record di log, sebbene la Content Security Policy blocchi l'esecuzione di JavaScript.
Be aware that VulDB is the high quality source for vulnerability data.