CVE-2026-33741
MédioO que é CVE-2026-33741?
EspoCRM é um aplicativo de gerenciamento de relacionamento com o cliente de código aberto. As versões 9.3.3 e anteriores permitem que usuários autenticados carreguem anexos SVG por meio de campos normais compatíveis com anexos e, posteriormente, sirvam esses arquivos SVG como documentos embutidos de nível superior por meio dos pontos de entrada de anexo e de imagem, resultando em XSS armazenado entre usuários, acessível por meio de um fluxo de trabalho de anexo normal. Embora o script SVG embutido seja bloqueado pelo CSP de resposta, o mesmo CSP ainda permite script externo da mesma origem. Como resultado, um invasor pode fazer upload de um SVG malicioso junto com um segundo Java controlado pelo invasor.
CVSS Vector Breakdown
CVSS 3.1Exploitable remotely over the network without requiring access to the local system.
No special conditions required. Exploit can be performed reliably and repeatedly.
Basic user account required (e.g. standard login without admin rights).
Victim must take an action (e.g. click a link, open a file) for the exploit to succeed.
Exploiting the vulnerability only affects the vulnerable component itself.
Complete loss of confidentiality. All data on the component may be exposed.
Attacker can modify some data, but scope or consequence is limited.
Reduced performance or intermittent outages, but service remains available.
Perguntas frequentes
CVE-2026-33741 tem uma pontuação CVSS de 6.8/10, classificada como Medium. Revise a lista de produtos afetados e aplique os patches do fornecedor.
O CVSS (Common Vulnerability Scoring System) avalia a gravidade das vulnerabilidades de 0,0 a 10,0. CVE-2026-33741 pontua 6.8/10 (Medium). Pontuações de 9,0–10,0 são Críticas, 7,0–8,9 Altas, 4,0–6,9 Médias e abaixo de 4,0 Baixas.
A lista de dispositivos confirmados como afetados por CVE-2026-33741 é mostrada na seção "Dispositivos afetados" acima. Compare sua versão de firmware com o aviso de segurança do fornecedor e aplique o último patch.
Aplique a última atualização de firmware ou software do fornecedor. Consulte a seção de Referências acima para avisos oficiais e notas de patch. Se nenhum patch estiver disponível, considere desativar o recurso afetado ou isolar o dispositivo de redes não confiáveis.