Vulnerabilidad en EspoCRM (CVE-2026-33741)

EspoCRM es una aplicación de gestión de relaciones con clientes de código abierto. Las versiones 9.3.3 e inferiores permiten a los usuarios autenticados subir archivos SVG adjuntos a través de campos normales que admiten adjuntos y posteriormente servir esos archivos SVG como documentos en línea de nivel superior a través de los puntos de entrada de adjuntos e imágenes, lo que resulta en un XSS almacenado entre usuarios accesible a través de un flujo de trabajo de adjuntos normal. Aunque el script SVG en línea es bloqueado por la CSP de respuesta, la misma CSP aún permite scripts externos del mismo origen. Como resultado, un atacante puede subir un SVG malicioso junto con un segundo archivo JavaScript adjunto controlado por el atacante, luego engañar a otro usuario para que abra el SVG para ejecutar JavaScript en el origen de EspoCRM de la víctima. Este problema ha sido solucionado en la versión 9.3.4.