CVE-2026-33657

CVE-2026-33657 - EspoCRM 9.3.3 メール通知における保存型HTMLインジェクション EspoCRM 9.3.3のメール通知における保存型HTMLインジェクションの認証済み概念実証。 概要 EspoCRM 9.3.3は、ストリームノート通知メールをレンダリングする際に、ノート本文をMarkdownで変換し、その結果のHTMLをトリプルブレース（post）でメールテンプレートに挿入します。ストリーム投稿を作成して通知をトリガーできる認証済みユーザーは、後で生成されるメール本文にレンダリングされる攻撃者制御のHTMLを保存できます。...