یک آسیب‌پذیری امنیتی از نوع Reflected Cross-Site Scripting (XSS) در نسخه 1.0.0 نرم‌افزار FeelCRM OS شناسایی شده است. این نقص امنیتی در بخش Department Search Endpoint و به‌طور مشخص در تابع GroupController::index در فایل GroupController.class.php رخ می‌دهد.
جزئیات فنی
این آسیب‌پذیری زمانی رخ می‌دهد که یک مهاجم بتواند پارامتر keyword را دستکاری کرده و کدهای مخرب را به مرورگر کاربر ارسال کند. برای اجرای این حمله، مهاجم نیاز به دسترسی‌های خاصی ندارد (Unauthenticated)، اما موفقیت حمله مشروط به این است که قربانی روی یک لینک دستکاری‌شده (Crafted Link) کلیک کند.
تحلیل اثرات
- تاثیر بر محرمانگی: محدود (Low)
- تاثیر بر یکپارچگی و در دسترس بودن: ندارد (None)
- محدوده اثر (Scope): تغییر از سرور به مرورگر کاربر (S:C)
در حال حاضر کد اکسپلویت (Exploit) این آسیب‌پذیری به‌صورت عمومی منتشر شده است. با وجود اینکه گزارش‌های مربوط به این مشکل برای توسعه‌دهندگان ارسال شده، اما هنوز پاسخی از سوی تیم پروژه دریافت نشده است. امتیاز شدت این آسیب‌پذیری بر اساس استاندارد CVSS 4.0 برابر با 2.1 ارزیابی شده است که در دسته Low قرار می‌گیرد.
به‌روزرسانی (اکتبر 5, 2026 — Vuln Today)
به‌روزرسانی:
آسیب‌پذیری جدیدی از نوع Stored XSS با شناسه CVE-2026-105289 در محصول feelcrm-os نسخه 1.0.0 شناسایی شده است. این نقص امنیتی در بخش Create Customer Endpoint و به‌طور مشخص در فایل App/Feelcrm/Common/Model/CrmDefineFormModel.class.php و تابع htmlspecialchars_decode رخ می‌دهد.
یک کاربر با سطح دسترسی پایین (Low-privileged) می‌تواند با دستکاری پارامتر customer_form[remark]، کدهای مخرب را در سیستم ذخیره کند. این کدها هنگام مشاهده رکورد مشتری توسط کاربر دیگر در مرورگر وی اجرا می‌شوند. با وجود انتشار اکسپلویت (Exploit) به‌صورت عمومی، هنوز وصله‌ای از سوی توسعه‌دهنده ارائه نشده است.
به‌روزرسانی (اکتبر 5, 2026 — Vuln Today)
به‌روزرسانی:
آسیب‌پذیری جدیدی با شناسه CVE-2026-105287 در محصول feelcrm-os نسخه 1.0.0 شناسایی شده است. این نقص از نوع SQL Injection است که در اندپوینت getMemberByGroups و در فایل AjaxRequestController.class.php رخ می‌دهد.
بر اساس تحلیل‌های فنی، یک کاربر با دسترسی محدود (Low-privilege) می‌تواند از طریق دستکاری پارامتر groups[]، دستورات SQL مخرب را اجرا کند. اگرچه این آسیب‌پذیری نیازمند احراز هویت است، اما اکسپلویت (Exploit) آن به صورت عمومی منتشر شده است. گزارش‌ها حاکی از آن است که تیم توسعه‌دهنده علی‌رغم اطلاع‌رسانی، هنوز پاسخی برای رفع این مشکل ارائه نداده‌اند.
