PT-2026-32680 · Webkul · Krayin Crm

Trexnegro · Publicado 2026-04-14 · Atualizado 2026-04-22 · CVE-2026-38526

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AC:L/AV:N/A:H/C:H/I:H/PR:L/S:C/UI:N

Name of the Vulnerable Software and Affected Versions Webkul Krayin CRM versões 2.2.x

Description Um problema de upload arbitrário de arquivos autenticado existe no endpoint '/admin/tinymce/upload'. Isso permite que atacantes autenticados façam o upload de um arquivo PHP manipulado, o que pode levar à execução remota de código e ao comprometimento total do sistema. Estima-se que aproximadamente 2.700 serviços sejam afetados em todo o mundo.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Restrinja o acesso ao endpoint '/admin/tinymce/upload' para minimizar o risco de exploração.

Exploit

RCE

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2026-38526

Produtos afetados

Krayin Crm

Referências · 11

• 🔥 https://github.com/TREXNEGRO/Security-Advisories/tree/main/CVE-2026-38526 · Exploit
• 🔥 https://github.com/TREXNEGRO/Security-Advisories/blob/main/CVE-2026-38526/poc.md · Exploit
• https://github.com/krayin/laravel-crm · Nota
• https://twitter.com/ctiwatchcloud/status/2044385465436926035 · Publicação no Twitter
• https://twitter.com/socradar/status/2046841318085988706 · Publicação no Twitter
• https://twitter.com/HunterMapping/status/2045053297459867853 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2045972415348703435 · Publicação no Twitter
• https://twitter.com/NoctisIntel/status/2047006678353330389 · Publicação no Twitter
• https://twitter.com/DailyDarkWeb/status/2046500961464484201 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-38526 · Nota de Segurança
• https://twitter.com/DFIR_Radar/status/2046741679596835063 · Publicação no Twitter