PT-2026-32522 · Espocrm · Espocrm

Yurikuzn · Publicado 2026-04-13 · Atualizado 2026-04-14 · CVE-2026-33740

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas EspoCRM versões anteriores a 9.3.4

Descrição Uma Referência Direta a Objeto Insegura (IDOR) existe no endpoint '/api/v1/Email/importEml'. O parâmetro fileId é usado para buscar anexos do repositório sem verificar se o usuário atual tem autorização para acessá-los. Usuários autenticados com permissões de Email:create e Import podem ler conteúdos de anexos .eml de outros usuários ao importá-los para sua própria caixa de correio, o que também resulta na exclusão do registro de anexo original.

Recomendações Atualizar para a versão 9.3.4. Como medida paliativa temporária, restrinja o acesso ao endpoint '/api/v1/Email/importEml'.

Exploit

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-33740

Produtos afetados

Espocrm

Referências · 6

• 🔥 https://github.com/espocrm/espocrm/releases/tag/9.3.4 · Exploit
• 🔥 https://github.com/espocrm/espocrm/commit/88e3ba6a7b5cab5dbc2298e2a093d3aa383aa95f · Exploit
• 🔥 https://github.com/espocrm/espocrm/security/advisories/GHSA-wr7j-hxf8-hc4w · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2026-33740 · Nota de Segurança
• https://twitter.com/CVEnew/status/2043976201547428170 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2043883198002680108 · Publicação no Twitter