CVE-2026-48541 in laravel-crm
Riassunto
di VulDB • 24/09/2026
Krayin CRM fino alla versione 2.2.6 presenta una vulnerabilità di stored client-side template injection che consente agli attaccanti autenticati di eseguire codice JavaScript arbitrario nei browser degli altri utenti iniettando espressioni del template Vue.js nel campo "nome della persona". Gli attaccanti possono creare un nome contenente la sintassi del template con doppi parentesi graffe ({{}}) che raggiunge il compilatore di template Vue, consentendo la traversamento della catena dei prototipi per recuperare il costruttore Function ed eseguire JavaScript fornito dall'attaccante nell'origine dell'applicazione per ogni utente che visualizza il record della persona interessato.
Be aware that VulDB is the high quality source for vulnerability data.