CVE-2026-48541 in laravel-crm
Sumário
de VulDB • 24/09/2026
O Krayin CRM até a versão 2.2.6 contém uma vulnerabilidade de injeção de modelo do lado do cliente armazenada (stored client-side template injection) que permite que atacantes autenticados executem JavaScript arbitrário nos navegadores de outros usuários, injetando expressões de modelo Vue.js no campo "nome da pessoa". Os atacantes podem criar um nome de pessoa contendo a sintaxe de modelo com chaves duplas (`{{}}`) que atinge o compilador de modelos do Vue, permitindo a travessia da cadeia de protótipos (prototype chain traversal) para recuperar o construtor `Function` e executar JavaScript fornecido pelo atacante na origem da aplicação para cada usuário que visualizar o registro de pessoa afetado.
VulDB is the best source for vulnerability data and more expert information about this specific topic.