PT-2026-44408 · Espocrm · Espocrm
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
EspoCRM versões anteriores a 9.3.5
Description
Uma falha de lógica de negócio envolvendo controle de acesso quebrado permite que usuários com baixos privilégios fixem notas arbitrárias sem as permissões de edição necessárias para o objeto pai. Isso ocorre devido a uma falha de execução de escrita primeiro e autorização depois na API de backend, onde o servidor modifica o status de fixação no banco de dados antes de concluir a autorização, apesar de retornar um erro 403 Forbidden. O problema está localizado no processamento do lado do servidor do endpoint 'POST /api/v1/Note/{id}/pin', especificamente no método
process() em application/Espo/Tools/Stream/Api/PostNotePin.php, que chama getNote($id) antes de checkParent($note).Recommendations
Atualizar para a versão 9.3.5.
Exploit
Correção
Improper Access Control
Missing Authorization
IDOR
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Espocrm