CVE-2026-38532 in Krayin

Tóm tắt

Bởi VulDB • 09/05/2026

Một lỗi Broken Object-Level Authorization (BOLA) trong endpoint /Contact/Persons/PersonController.php của Webkul Krayin CRM v2.2.x cho phép các kẻ tấn công đã xác thực đọc, sửa đổi và xóa vĩnh viễn bất kỳ liên hệ nào thuộc sở hữu của người dùng khác bằng cách cung cấp một yêu cầu GET được tạo ra đặc biệt.

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• chịu trách nhiệm: MITRE
• Đặt trước: 06/04/2026
• Tiết lộ: 14/04/2026
• Kiểm duyệt: được chấp nhận
• mục: VDB-357338
• CPE: sẵn sàng
• CWE: CWE-285 (Đã xác nhận)
• CVSS: 8.1 (CNA)
• EPSS: 0.00351
• KEV: không
• Các hoạt động: rất thấp
• ngành: Hostingprovider, Energy, ...

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-38532
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-38532
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-38532/