یک آسیب‌پذیری از نوع Stored Cross-Site Scripting (XSS) در نرم‌افزار IDURAR ERP CRM (نسخه‌های تا 4.1.1) شناسایی شده است که با شناسه CVE-2026-104475 ثبت گردیده است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی به کاربران احراز هویت شده (Authenticated Users) اجازه می‌دهد تا با سوءاستفاده از عدم اعتبارسنجی فایل‌های ورودی، اسکریپت‌های مخرب را به سیستم تزریق کنند. مهاجمان می‌توانند از طریق نقاط انتهایی (Endpoints) مربوط به به‌روزرسانی پروفایل یا آپلود تنظیمات، فایل‌های SVG حاوی کدهای JavaScript را آپلود نمایند.
مکانیسم حمله و اثرات
- بردار حمله: آپلود فایل‌های SVG بدون پاک‌سازی (Unsanitized).
- نحوه اجرا: زمانی که این فایل‌های مخرب از مسیر
/publicفراخوانی شوند، کدهای تزریق شده در مرورگر کاربر قربانی اجرا می‌گردند. - پیامد: این حمله می‌تواند منجر به سرقت Session Cookies، تغییر محتوای صفحه یا هدایت کاربران به سایت‌های فیشینگ شود.
