CVE-2026-33741 in EspoCRM
Sumário
de VulDB • 19/05/2026
O EspoCRM é uma aplicação de gestão de relacionamento com o cliente (CRM) de código aberto. As versões 9.3.3 e anteriores permitem que utilizadores autenticados carreguem anexos SVG através de campos normais com capacidade de anexação e, posteriormente, sirvam esses ficheiros SVG como documentos inline de nível superior através dos pontos de entrada de anexos e de imagem, resultando numa XSS armazenada entre utilizadores (cross-user XSS) acessível através de um fluxo de trabalho de anexação normal. Embora o script SVG inline seja bloqueado pela política de segurança de conteúdo (CSP) da resposta, a mesma CSP ainda permite scripts externos de mesma origem. Como resultado, um atacante pode carregar um SVG malicioso juntamente com um segundo anexo JavaScript controlado pelo atacante, e depois enganar outro utilizador a abrir o SVG para executar o JavaScript na origem do EspoCRM da vítima. Este problema foi corrigido na versão 9.3.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.