CVE-2026-59994 in EspoCRM
요약
\~에 의해 VulDB • 2026. 10. 15.
EspoCRM는 오픈 소스 고객 관계 관리(CRM) 애플리케이션입니다. 버전 9.3.9 이전에서는 인증되지 않은 원격 공격자가 모니터링되는 그룹 또는 IMAP 주소(이메일-투-케이스 주소를 포함함)로 이메일을 전송하여 일반 텍스트 본문에 임의의 HTML을 삽입할 수 있습니다. EspoCRM는 해당 본문을 저장하고, 관련 레코드 이후 사용자에게 발송되는 'Email Received' 스트림 알림 메일에서 이스케이프 처리 없이 이를 렌더링하므로 HTML 인젝션과(이메일 클라이언트에서 실행될 경우) JavaScript 실행이 가능합니다. Post 및 Mention 알림에 대한 기존 sanitization은 이 알림 경로를 커버하지 못했습니다. 본 문제는 버전 9.3.9에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.