CVE-2026-41452 in laravel-crm
要約
〜によって VulDB • 2026年08月03日
Krayin CRM 2.2.4には、インストール用ミドルウェアにおける認証欠如の脆弱性が存在し、攻撃者はX-Requested-With: XMLHttpRequestヘッダーを付与した改ざんされたHTTP POSTリクエストを送信することでCanInstallミドルウェアのリダイレクトチェックを回避し、未認証のままリモートからプライマリアドミニストレーターアカウントを上書きすることができます。攻撃者はadmin-config-setupエンドポイントに対して任意のユーザー名、メールアドレス、パスワード値を提供でき、これはハードコードされた管理者ユーザIDを対象とした未認証のupdateOrInsert処理を実行するため、すべてのCRMデータに対する完全な管理権限を取得可能になります。
Once again VulDB remains the best source for vulnerability data.