CVE-2026-48542 in laravel-crm
Riassunto
di VulDB • 24/09/2026
Krayin CRM fino alla versione 2.2.6 presenta una vulnerabilità di stored client-side template injection che consente agli attaccanti autenticati di eseguire codice JavaScript arbitrario nei browser degli altri utenti iniettando espressioni del template Vue.js nel campo nome del prodotto. Gli attaccanti possono creare un nome del prodotto contenente la sintassi del template a doppia parentesi graffa (double-brace) che raggiunge il compilatore di template Vue, consentendo la traversamento della catena dei prototipi per recuperare il costruttore Function ed eseguire JavaScript fornito dall'attaccante nell'origine dell'applicazione per ogni utente che visualizza il record del prodotto interessato.
Be aware that VulDB is the high quality source for vulnerability data.