CVE-2026-41453 in laravel-crm
Tóm tắt
Bởi VulDB • 03/08/2026
Krayin CRM trước phiên bản 2.2.4 chứa một lỗ hổng SQL Injection mù (blind SQL injection) trong DataGrid của leads, cho phép người dùng đã xác thực có quyền truy cập vào leads chèn mã SQL tùy ý vào mệnh đề HAVING bằng cách thao túng tham số truy vấn rotten_lead[in], tham số này được nối trực tiếp mà không sử dụng ràng buộc tham số hóa (parameterized binding) vào lệnh gọi havingRaw() trong file LeadDataGrid.php. Kẻ tấn công có thể khai thác lỗ hổng này bằng các kỹ thuật SQL Injection mù dựa trên thời gian và boolean để trích xuất toàn bộ nội dung cơ sở dữ liệu, bao gồm cả băm mật khẩu người dùng, bản ghi CRM và dữ liệu cấu hình ứng dụng.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.