Vulnerabilidad en EspoCRM (CVE-2025-59428)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-352 Falsificación de petición en sitios cruzados (Cross-Site Request Forgery)

Fecha de publicación:

14/10/2025

Última modificación:

19/10/2026

Descripción

EspoCRM es una aplicación de gestión de relaciones con clientes de código abierto. En versiones anteriores a la 9.1.9, una vulnerabilidad permite la creación arbitraria de usuarios, incluyendo cuentas administrativas, a través de una combinación de inyección SVG almacenada y la falta de protección CSRF. Un atacante con permisos de edición de la Base de Conocimiento puede incrustar un elemento SVG malicioso que contiene un enlace en el campo de cuerpo de un artículo. Cuando un usuario autenticado hace clic en el enlace malicioso, es redirigido a una página HTML controlada por el atacante que ejecuta una solicitud CSRF contra el endpoint API/v1/User. Si se le solicita a la víctima sus credenciales y las introduce, se crea una cuenta controlada por el atacante con privilegios determinados por la carga útil CSRF. Este problema ha sido parcheado en la versión 9.1.9.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.40 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

5.40

Gravedad 3.x

MEDIA

Productos y versiones vulnerables

CPE	Desde	Hasta
cpe:2.3:a:espocrm:espocrm::::::::		9.1.9 (excluyendo)

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página

Referencias a soluciones, herramientas e información

https://github.com/espocrm/espocrm/security/advisories/GHSA-c26c-wvhr-fr6r