PT-2025-41534 · Unknown · Energy Crm

Andrea Intilangelo · Publicado 2025-10-10 · Atualizado 2025-11-03 · CVE-2025-40640

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Energy CRM versão 2025

Descrição Existe uma vulnerabilidade de Cross-Site Scripting (XSS) armazenado devido à validação insuficiente de dados fornecidos pelo usuário. Um usuário remoto pode potencialmente enviar uma requisição maliciosa a um usuário autenticado, o que pode levar ao roubo de cookies de sessão. O problema é acionado ao enviar uma requisição POST para o endpoint ''/crm/create invoice submit.php'', utilizando especificamente o parâmetro customerName 0.

Recomendações Aplique validação e sanitização de entrada ao parâmetro customerName 0 no endpoint ''/crm/create invoice submit.php''.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-40640

Produtos afetados

Energy Crm

Referências · 8

• https://t.me/cveNotify/141347 · Publicação no Telegram
• https://incibe.es/en/incibe-cert/notices/aviso/multiple-vulnerabilities-energy-crm-status-tracker · Nota
• https://twitter.com/VulmonFeeds/status/1976584217011097927 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-40640 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-40640 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1976569855039173068 · Publicação no Twitter
• https://t.me/CVEtracker/34557 · Publicação no Telegram
• https://t.me/cveNotify/138116 · Publicação no Telegram