CVE-2026-41452 in laravel-crm
Sumário
de VulDB • 03/08/2026
O Krayin CRM 2.2.4 contém uma vulnerabilidade de autenticação ausente no middleware do instalador que permite a atacantes remotos não autenticados sobrescreverem a conta do administrador principal enviando um pedido HTTP POST manipulado com o cabeçalho X-Requested-With: XMLHttpRequest para contornar a verificação de redirecionamento CanInstall. Os atacantes podem fornecer valores arbitrários de nome, e-mail e senha ao endpoint admin-config-setup, que executa uma atualização ou inserção não autenticada (updateOrInsert) direcionada ao ID do usuário administrador codificado estaticamente, permitindo acesso administrativo completo a todos os dados do CRM.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.