Krayin laravel-crmのXSS脆弱性

Laravel — CVE-2026-97896

自分のサイトが該当するか無料診断 → 原文を見る（NVD（米国脆弱性データベース））↗

どんな問題か

Krayin laravel-crmの設定画面のアップロード機能に、細工した入力で不正なスクリプトを実行させる問題があります。遠隔から攻撃でき、公開済みの悪用方法もあります。

放置するとどうなるか

管理画面を見た人の情報が盗まれたり、不正操作をされるおそれがあります。サイトや社内システムへの被害拡大につながる可能性があります。

今すぐやること

Krayin laravel-crmを2.2.6へ更新してください。アップデートできない場合は、アップロード機能の利用者を限定し、制作会社・保守会社に一時対策を相談してください。

自分のサイトが該当するかの確認手順

お使いのサーバー・プログラムに Laravel が使われているか、制作会社・保守会社・サーバー会社に確認します（管理画面やサーバーのバージョン表示でも分かります）。
バージョンが「up to 2.2.5」に当てはまるか確認します。
当てはまる場合は、修正版へのアップデートを依頼します。レンタルサーバーの場合はサーバー会社側で対応済みのこともあるので、お知らせを確認してください。

原文（英語）を表示

A vulnerability was identified in krayin laravel-crm up to 2.2.5. This vulnerability affects the function ConfigurationForm::rules of the file packages/Webkul/Admin/src/Http/Requests/ConfigurationForm.php of the component Upload Functionality. The manipulation leads to cross site scripting. The attack is possible to be carried out remotely. The exploit is publicly available and might be used. Upgrading to version 2.2.6 is able to resolve this issue. The identifier of the patch is b9836530ec9f5ef0f51653bb0cbbc47ef7184f51. It is advisable to upgrade the affected component.

※ 解説は NVD（米国脆弱性データベース）の公表内容をもとにAIが生成しています。対象バージョン・修正版などの正確な情報は、必ず原文をご確認ください。