CVE-2026-33741 in EspoCRM
Сводка
по VulDB • 20.05.2026
EspoCRM — это приложение для управления взаимоотношениями с клиентами (CRM) с открытым исходным кодом. Версии 9.3.3 и более ранние позволяют аутентифицированным пользователям загружать вложения в формате SVG через обычные поля, поддерживающие вложения, а затем отображать эти SVG-файлы как встроенные документы верхнего уровня как через точку входа для вложений, так и через точку входа для изображений, что приводит к сохраненному межсайтовому скриптингу (XSS) между пользователями, доступному через обычный рабочий процесс вложений. Хотя встроенный скрипт SVG блокируется заголовком CSP (Content Security Policy) ответа, тот же самый CSP все еще разрешает внешние скрипты с того же источника. В результате злоумышленник может загрузить вредоносный SVG-файл вместе со вторым вложением, содержащим JavaScript, контролируемым злоумышленником, а затем обманом заставить другого пользователя открыть SVG-файл, чтобы выполнить JavaScript в контексте источника EspoCRM жертвы. Эта проблема исправлена в версии 9.3.4.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.