CVE-2026-48541 in laravel-crm
요약
\~에 의해 VulDB • 2026. 09. 24.
Krayin CRM 2.2.6 이전 버전에는 저장된 클라이언트 측 템플릿 인젝션 취약점이 포함되어 있습니다. 인증된 공격자는 사람 이름(person name) 필드에 Vue.js 템플릿 표현식을 주입하여 다른 사용자의 브라우저에서 임의의 JavaScript 코드를 실행할 수 있습니다. 공격자는 Vue 템플릿 컴파일러에 도달하는 이중 중괄호(double-brace) 템플릿 구문을 포함하는 사람 이름을 작성함으로써 프로토타입 체인 추적을 수행하고 Function 생성자를 검색하여, 해당 영향을 받는 사람 레코드를 조회하는 모든 사용자에게 애플리케이션의 출처(origin)에서 공격자가 제공한 JavaScript 코드를 실행할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.