ورود / ثبت‌نام

جزئیات آسیب‌پذیری

CVE-2026-31845

Rukovoditel CRM

Rukovoditel CRM Reflected XSS via zd_echo Parameter in Zadarma Telephony API Endpoint

CVSS 4.0
9.3بحرانی

شرح رسمی (انگلیسی)

A reflected cross-site scripting (XSS) vulnerability exists in Rukovoditel CRM version 3.6.4 and earlier in the Zadarma telephony API endpoint (/api/tel/zadarma.php). The application directly reflects user-supplied input from the 'zd_echo' GET parameter into the HTTP response without proper sanitization, output encoding, or content-type restrictions.

امتیازهای CVSS

امتیازنسخهمنبعبردار
9.3بحرانی 4.0 CVEProject cvelistV5 (CNA) (TuranSec) CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:N/SC:H/SI:H/SA:H
9.3بحرانی 3.1 CVEProject cvelistV5 (CNA) (TuranSec) CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
6.4متوسط 2.0 CVEProject cvelistV5 (CNA) (TuranSec) AV:N/AC:L/Au:N/C:P/I:P/A:N

محصولات آسیب‌پذیر

فروشندهمحصولنسخه‌هامنبع
Rukovoditel Rukovoditel CRM 3.6.4 CVEProject cvelistV5 (CNA)

منابع و راهنماها

۱
کانال تلگرام کُلون @kolunsec_fa تازه‌های KEV، خبرهای مهم و خلاصه‌ی روزانه هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار
۱۴۰۵/۰۱/۲۲
آخرین به‌روزرسانی
۱۴۰۵/۰۵/۱۹
وضعیت
منتشرشده
صادرکننده (CNA)
TuranSec

پیش‌بینی بهره‌برداری (EPSS)

۰٫۴۳٪
احتمال بهره‌برداری در ۳۰ روز
۳۸٪
صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی
خیر
وضعیت بهره‌برداری
اثبات مفهوم
اثر فنی
جزئی

ضعف‌ها (CWE)

  • CWE-79
    Improper Neutralization of Input During Web Page Generation (Cross-site Scripting)