CVE-2026-33657

CVE-2026-33657 - EspoCRM 9.3.3 邮件通知中的存储型 HTML 注入 针对 EspoCRM 9.3.3 邮件通知中存储型 HTML 注入的已认证概念验证。 概述 EspoCRM 9.3.3 在渲染流动态通知邮件时，会通过 Markdown 转换动态正文，并将生成的 HTML 使用三重大括号（post）插入到邮件模板中。能够创建流动态帖子并触发通知的已认证用户，可以存储攻击者控制的 HTML，该 HTML 随后会在生成的邮件正文中被渲染。 该漏洞利用执行了攻击者控制的远程部分流程： 1. 向 EspoCRM 进行身份验证。 2. 可选地通过...