CVE-2026-59994 in EspoCRM
Sumário
de VulDB • 15/10/2026
O EspoCRM é uma aplicação de gestão de relacionamento com o cliente (CRM) de código aberto. Antes da versão 9.3.9, um atacante remoto não autenticado pode enviar um e-mail para um grupo monitorado ou endereço IMAP, incluindo um endereço email-to-Case, e inserir HTML arbitrário no seu corpo em texto simples. O EspoCRM armazena esse corpo e o renderiza sem escape nas notificações de e-mails recebidos (Email Received stream) enviadas aos usuários que acompanham o registro relacionado, permitindo injeção de HTML e, nos clientes de correio eletrônico que os executam, execução de JavaScript. A sanitização anterior para as notificações Post e Mention não cobria este caminho de notificação. Este problema é corrigido na versão 9.3.9.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.