CVE-2023-38891

CVE-2023-38891 Vulnerabilità di SQL Injection autenticata in VTiger Open Source CRM v7.5 Scoperta da: Jacob Elliott 07/13/23 Riepilogo Nel modulo Reports di VTiger CRM v7.5.0, il controllo dei campi selezionati per il report è insufficiente: tali campi vengono salvati e successivamente reintrodot...

CVE-2025-3568

CVE-2025-3568 Escalation dei privilegi tramite file SVG malintenzionato Riepilogo È stata identificata una vulnerabilità di sicurezza in Krayin CRM 2.1.0 che consente a un utente con privilegi bassi di escalare i propri privilegi ingannando un amministratore affinché apra un file SVG...

CVE-2026-38526-POC

CVE-2026-38526 - Exploit RCE per Krayin CRM Krayin CRM ≤ 2.2.x - Caricamento file senza restrizioni che porta all'esecuzione remota di codice. Questo PoC sfrutta l'endpoint vulnerabile di upload di TinyMCE /admin/tinymce/upload per caricare una webshell PHP e ottenere l'esecuzione di comandi sul...

CVE-2026-41452-PoC

CVE-2026-41452 — Bypass de Autenticação no Instalador do Krayin CRM → Assunção de Conta de Admin CVSS 9.8 Crítico · CWE-287 / CWE-306 · Writeup da Jiva · VulnCheck Resumo O instalador do Krayin CRM expõe POST /install/api/admin-config-setup além de run-migration, run-seeder sem proteção CSRF grup...

CVE-2019-9745

Autor: Arn Vollebregt Einleitung Kreativität steht im Mittelpunkt des Penetrationstests, was unsere Arbeit interessant hält. Eine Falle ist jedoch die Tendenz, Angriffsszenarien zu 'überkonstruieren' und sich ausschließlich auf Bugs Fehlerzustände zu konzentrieren. Fehler unbeabsichtigtes Verhalt...

CVE-2023-27742

CVE-2023-27742 Es wurde festgestellt, dass IDURAR ERP/CRM v1 eine SQL-Injection-Schwachstelle über die Komponente /api/login aufweist. Beschreibung Es wurde festgestellt, dass IDURAR ERP/CRM v1 eine SQL-Injection-Schwachstelle über die Komponente /api/login aufweist. Schwachstellentyp SQL-Injecti...

CVE-2021-40303

CVE-2021-40303 perfex crm 1.10 è vulnerabile a Cross Site Scripting XSS memorizzato tramite /clients/profile. poc: root@kitploit: POST /clients/profile HTTP/1.1 Host: localhost User-Agent: Mozilla/5.0 X11; Linux x8664; rv:78.0 Gecko/20100101 Firefox/78.0 Accept:...

CVE-2026-81931

Unrestricted Upload of File with Dangerous Type in the product photo upload in Roskus Prospero Flow CRM before 5.16.0 allows an authenticated user holding the create product permission routine Seller role to execute arbitrary JavaScript in the application origin. The photo validation rule...

CVE-2026-81931

Roskus Prospero Flow CRM before 5.16.0 is affected by an unrestricted file upload in the product photo feature. The validation logic checks only magic bytes and blocks a fixed list of PHP extensions , but ProductSaveController::save() stores the file using the client-supplied extension in the pub...

CVE-2026-81931 Unrestricted upload of file with dangerous type in Prospero Flow CRM product photo allows stored cross-site scripting

Unrestricted Upload of File with Dangerous Type in the product photo upload in Roskus Prospero Flow CRM before 5.16.0 allows an authenticated user holding the create product permission routine Seller role to execute arbitrary JavaScript in the application origin. The photo validation rule...

CVE-2026-81931 Unrestricted upload of file with dangerous type in Prospero Flow CRM product photo allows stored cross-site scripting

Unrestricted Upload of File with Dangerous Type in the product photo upload in Roskus Prospero Flow CRM before 5.16.0 allows an authenticated user holding the create product permission routine Seller role to execute arbitrary JavaScript in the application origin. The photo validation rule...

Exploit-for-Dolibarr-17.0.0-CVE-2023-30253

PoC exploit per Dolibarr example: python3 exploit.py http://example.com login password 127.0.0.1 9001 ---Reverse Shell Exploit for Dolibarr = 17.0.0 CVE-2023-30253--- positional arguments: hostname Target hostname username Username of Dolibarr ERP/CRM password Password of Dolibarr ERP/CRM lhost...

CVE-2023-24203-and-CVE-2023-24204

CVE-2023-24203-and-CVE-2023-24204 Introduzione Nel panorama in continua evoluzione della cybersecurity, le applicazioni web rimangono un obiettivo primario per gli attaccanti che cercano di sfruttare le vulnerabilità. Recentemente, sono state scoperte due vulnerabilità critiche nel SourceCodester...

htb-labs-nexus

🏴‍☠️ HTB Labs - Nexus English 🇺🇸 | Español 🇪🇸 English | Español 📋 Panoramica Nexus è una macchina Linux di difficoltà Facile di Hack The Box che dimostra una catena di attacco multi-fase che coinvolge enumerazione di virtual host, credenziali esposte, funzionalità vulnerabili di applicazioni web,...

CVE-2026-26720-Twenty-RCE

Twenty CRM - Esecuzione Remota di Codice Autenticata RCE Panoramica Prodotto: Twenty CRM Vulnerabilità: Esecuzione Remota di Codice RCE tramite Funzioni Serverless dei Workflow Gravità: Critica Componente Interessato: Automazione dei Workflow Codice - Funzione Serverless Versione Testata: v1.15.0...

CVE-2026-36341

Vulnerabilità Cross-Site Scripting XSS in Webkul Krayin CRM Iniezione HTML CVE: CVE-2026-36341 Riepilogo La vulnerabilità è particolarmente critica perché interessa il Pannello di Amministrazione. In molti flussi di lavoro CRM, i manager o gli amministratori di livello superiore esaminano le...

CVE-2026-36340

CVE-2026-36340 Vulnerabilità di Remote Code Execution RCE in Krayin CRM v2.1.5 Vulnerabilità di Remote Code Execution RCE in Krayin CRM v2.1.5 CVE: CVE-2026-36340 Severity: Critica Prodotto interessato: Krayin CRM v2.1.5 Tipo di vulnerabilità: Remote Code Execution RCE Autenticazione richiesta: S...

CVE-2025-60378

CVE-2025-60378: Iniezione HTML Persistente in RISE Ultimate Project Manager & CRM ⚠️ Avviso di Sicurezza Una vulnerabilità critica di Iniezione HTML Persistente che interessa fatture, messaggistica e comunicazioni automatizzate -ff6600 📋 Panoramica È stata scoperta una vulnerabilità critica di...

CVE-2024-56289

CVE-2024-56289 1️⃣ Tipo di componente Plugin WordPress 2️⃣ Dettagli del componente Nome del componente WordPress CRM, Email & Marketing Automation for WordPress | Award Winner — Groundhogg Versione vulnerabile = 3.7.3.2 Slug del componente groundhogg Link del componente...

CVE-2026-81031

IDURAR ERP CRM changes the password of whichever account a request names rather than the account making the request. The update handler in backend/src/controllers/middlewaresControllers/createUserController/updatePassword.js resolves the authenticated user from the request that the token middlewa...