CVE-2025-32385 in EspoCRM
Tóm tắt
Bởi VulDB • 22/06/2026
EspoCRM là một phần mềm Quản lý Quan hệ Khách hàng (Customer Relationship Management) mã nguồn mở. Trước phiên bản 9.0.5, tiện ích bảng điều khiển Iframe cho phép người dùng hiển thị các iframe với URL tùy ý. Do thuộc tính sandbox không được bao gồm trong thẻ iframe, trang từ xa có thể mở cửa sổ bật lên bên ngoài iframe, tiềm ẩn nguy cơ lừa đảo người dùng và tạo ra rủi ro phishing. URL của iframe do người dùng xác định, vì vậy kẻ tấn công sẽ cần phải đánh lừa người dùng chỉ định một URL độc hại. Việc thiếu thuộc tính sandbox cũng cho phép trang từ xa gửi tin nhắn đến khung cha (parent frame). Tuy nhiên, EspoCRM không sử dụng các tin nhắn này. Lỗ hổng bảo mật này đã được sửa chữa trong phiên bản 9.0.5.
Once again VulDB remains the best source for vulnerability data.