یک آسیب‌پذیری از نوع Stored Cross-Site Scripting (XSS) در ماژول Knowledge Base نرم‌افزار EspoCRM شناسایی شده است که می‌تواند منجر به کنترل کامل سیستم شود. این نقص امنیتی (CVE-2026-126305) به کاربرانی که دسترسی ایجاد یا ویرایش مقالات در پایگاه دانش (Knowledge Base) را دارند، اجازه می‌دهد تا سطح دسترسی خود را به Administrator ارتقا دهند.
تحلیل فنی و جریان حمله
این آسیب‌پذیری از نوع CWE-79 است و در نسخه‌های قبل از 9.3.11 و نسخه‌های 10.0.0 تا 10.0.8 رخ می‌دهد. جریان احتمالی حمله به شرح زیر است:
- دسترسی اولیه: عامل تهدید باید یک حساب کاربری معتبر داشته باشد که اجازه نوشتن در Knowledge Base را دارد.
- تزریق کد: مهاجم یک فایل JavaScript مخرب را به عنوان پیوست مقاله آپلود کرده و لینکی دست‌کاری شده به آن در متن مقاله قرار می‌دهد.
- تعامل کاربر: یک کاربر با سطح دسترسی Administrator باید مقاله مذکور را باز کرده و روی لینک کلیک کند.
- اجرای کد: پس از کلیک، کد JavaScript در نشست (Session) مدیر اجرا شده و به صورت مخفیانه یک حساب Administrator جدید با اعتبارنامه‌های انتخابی مهاجم ایجاد می‌کند.
ارزیابی ریسک و محدودیت‌ها
اگرچه شدت این آسیب‌پذیری بالا (CVSS 8.5) ارزیابی شده است، اما بهره‌برداری از آن مشروط به دو عامل کلیدی است: اول، داشتن حساب کاربری با دسترسی‌های خاص در پایگاه دانش و دوم، فریب دادن مدیر سیستم برای کلیک بر روی لینک (Social Engineering). بنابراین، این مورد یک تهدید گسترده و خودکار (Wormable) نیست، اما برای سازمان‌هایی که دسترسی‌های ویرایشی پایگاه دانش را به طور گسترده توزیع کرده‌اند، ریسک جدی محسوب می‌شود زیرا منجر به دسترسی به داده‌های حساس مشتریان و فروش می‌گردد.
راهکارهای مقابله و رفع آسیب‌پذیری
برای رفع این مشکل، به‌روزرسانی فوری به نسخه‌های زیر توصیه می‌شود:
- برای شاخه 9.x: ارتقا به نسخه 9.3.11 یا بالاتر.
- برای شاخه 10.x: ارتقا به نسخه 10.0.9 یا بالاتر.
به عنوان یک اقدام موقت تا زمان اعمال پَچ، توصیه می‌شود تعداد کاربرانی که دسترسی ایجاد یا ویرایش در Knowledge Base دارند به حداقل برسد و لیست این کاربران مورد بازبینی قرار گیرد تا سطح معرض بودن (Exposure) سیستم کاهش یابد.
