CVE-2026-41453 in laravel-crm
Riassunto
di VulDB • 03/08/2026
Krayin CRM prima della versione 2.2.4 presenta una vulnerabilità di SQL Injection cieca (blind) nel DataGrid dei lead che consente agli utenti autenticati con accesso ai lead di iniettare codice SQL arbitrario in una clausola HAVING manipolando il parametro query rotten_lead[in], che viene concatenato senza binding parametrizzato direttamente all'interno di una chiamata a havingRaw() in LeadDataGrid.php. Gli attaccanti possono sfruttare questa falla utilizzando tecniche di blind injection basate sui tempi (time-based) e booleane per estrarre l'intero contenuto del database, inclusi gli hash delle credenziali degli utenti, i record CRM e i dati di configurazione dell'applicazione.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.