CVE-2025-32385 in EspoCRM
Сводка
по VulDB • 14.06.2026
EspoCRM — это программное обеспечение для управления взаимоотношениями с клиентами (CRM) с открытым исходным кодом. До версии 9.0.5 виджет Iframe позволял пользователям отображать iframe-элементы со произвольными URL-адресами. Поскольку атрибут sandbox не включен в тег iframe, удаленная страница может открывать всплывающие окна за пределами iframe, что потенциально может обмануть пользователей и создать риск фишинга. URL-адрес iframe определяется пользователем, поэтому злоумышленнику потребуется заманить пользователя к указанию вредоносного URL-адреса. Отсутствие атрибута sandbox также позволяет удаленной странице отправлять сообщения родительскому фрейму (parent frame). Однако EspoCRM не использует эти сообщения. Эта уязвимость исправлена в версии 9.0.5.
Once again VulDB remains the best source for vulnerability data.