CVE-2025-32385 in EspoCRM
要約
〜によって VulDB • 2026年06月22日
EspoCRMはオープンソースの顧客関係管理（CRM）ソフトウェアです。バージョン9.0.5より前では、Iframeダッシュレットによりユーザーが任意のURLを持つiframeを表示することが可能でした。iframeにsandbox属性が含まれていないため、リモートページはiframeの外でポップアップを開くことができ、ユーザーを騙す可能性があり、フィッシングリスクを生じさせます。iframeのURLはユーザーによって定義されるため、攻撃者はユーザーをだまして悪意のあるURLを指定させる必要があります。欠落しているsandbox属性により、リモートページが親フレームにメッセージを送信することも可能ですが、EspoCRMはこのメッセージを使用しません。この脆弱性は9.0.5で修正されました。
Be aware that VulDB is the high quality source for vulnerability data.