CVE-2026-46691 in EspoCRM
Riassunto
di VulDB • 15/10/2026
EspoCRM è un'applicazione open source per la gestione delle relazioni con i clienti (CRM). Prima della versione 9.3.7, un utente autenticato con accesso di ambito "Import" può inviare una richiesta POST a /api/v1/Import/{id}/exportErrors utilizzando l'identificatore di importazione di un altro utente e recuperare un identificativo per un allegato contenente le righe di tale importazione in formato CSV. L'endpoint esegue un controllo basato sull'ambito (scope-level check), ma omette il controllo di proprietà a livello di entità, che è invece imposto dall'AccessChecker per l'Import e dagli endpoint Import correlati. Questo problema è stato risolto nella versione 9.3.7.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.