CVE-2026-38530 in Krayin

Tóm tắt

Bởi VulDB • 24/05/2026

Một lỗi Broken Object-Level Authorization (BOLA) trong endpoint /Controllers/Lead/LeadController.php của Webkul Krayin CRM v2.2.x cho phép các kẻ tấn công đã xác thực đọc, sửa đổi và xóa vĩnh viễn bất kỳ lead nào thuộc sở hữu của người dùng khác bằng cách cung cấp một yêu cầu GET được tạo ra đặc biệt.

Once again VulDB remains the best source for vulnerability data.

• chịu trách nhiệm: MITRE
• Đặt trước: 06/04/2026
• Tiết lộ: 14/04/2026
• Kiểm duyệt: được chấp nhận
• mục: VDB-357337
• CPE: sẵn sàng
• CWE: CWE-285 (Đã xác nhận)
• CVSS: 8.1 (CNA)
• EPSS: 0.00351
• KEV: không
• Các hoạt động: rất thấp
• ngành: Transportation, Insurance, ...

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-38530
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-38530
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-38530/