PT-2026-29860 · Webkul+1 · Notes Module+2

Dineshrajansv · Publicado 2026-04-02 · Atualizado 2026-04-02 · CVE-2026-5370

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.0

Média

Vetor base

AV:N/AC:L/Au:S/C:N/I:P/A:N

Nome do Software Vulnerável e Versões Afetadas krayin laravel-crm versões até 2.2

Descrição Uma falha de scripting entre sites foi identificada na função composeMail dentro do arquivo packages/Webkul/Admin/tests/e2e-pw/tests/mail/inbox.spec.ts do Módulo de Atividades/Módulo de Notas. Essa manipulação pode ser explorada remotamente, e um exploit público está disponível.

Recomendações Implemente o patch 73ed28d466bf14787fdb86a120c656a4af270153.

Exploit

Correção

Code Injection

XSS

Enumeração de Fraquezas

CWE-94

CWE-79

Identificadores relacionados

CVE-2026-5370

GHSA-9M2V-HC5G-5JPV

Produtos afetados

Activities Module

Notes Module

Laravel-Crm

Referências · 10

• 🔥 https://github.com/krayin/laravel-crm/issues/2419 · Exploit
• https://github.com/krayin/laravel-crm · Nota
• https://github.com/krayin/laravel-crm/commit/73ed28d466bf14787fdb86a120c656a4af270153 · Correção
• https://github.com/krayin/laravel-crm/pull/2466 · Correção
• https://twitter.com/cyberbivash/status/2039782350976844228 · Publicação no Twitter
• https://vuldb.com/vuln/354756 · Nota
• https://vuldb.com/submit/781666 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-5370 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-9m2v-hc5g-5jpv · Aviso do Fabricante
• https://vuldb.com/vuln/354756/cti · Nota