XSS в feelcrm-os через параметр keyword в GroupController — CVE-2026-105291

В open-source CRM-системе feelcrm-os, разрабатываемой проектом feelec-yishu, выявлена уязвимость класса cross site scripting. Проблема затрагивает компонент Department Search Endpoint — endpoint поиска по отделам.

Подробности

Уязвимость затрагивает feelcrm-os версии 1.0.0. Проблема локализована в функции GroupController::index файла App/Feelcrm/Index/Controller/GroupController.class.php. При обработке пользовательского ввода в аргументе keyword отсутствует корректная нейтрализация опасных символов, что позволяет внедрить произвольный JavaScript-код в ответ приложения. Тип уязвимости — CWE-79 (Improper Neutralization of Input During Web Page Generation, «cross site scripting»). Атака может быть инициирована удалённо, без предварительной аутентификации. Взаимодействие с пользователем требуется в том смысле, что жертва должна открыть специально сформированную ссылку или страницу с внедрённым скриптом. Уязвимости присвоена оценка CVSS 5.3 — средний уровень критичности. Такой балл отражает ограниченное влияние на конфиденциальность и целостность данных: при успешной эксплуатации злоумышленник может выполнить произвольный скрипт в контексте браузера жертвы, например для кражи сессионных данных или перенаправления на вредоносный ресурс. Важный фактор риска: эксплойт опубликован в открытом доступе и может быть использован злоумышленниками. Разработчику сообщили о проблеме заранее через issue-репорт, однако ответа от проекта на момент публикации записи CVE не последовало, а исправленная версия не выпущена.

Что делать

Поскольку официальный патч отсутствует, рекомендуется применять компенсирующие меры:

• Ограничить доступ к endpoint поиска по отделам средствами WAF или reverse proxy, блокируя подозрительные значения параметра keyword (например, содержащие теги script, обработчики событий и javascript-схемы).
• На стороне приложения выполнять строгую валидацию и экранирование входных данных перед выводом в HTML, а также использовать контекстно-зависимое кодирование.
• Внедрить Content Security Policy (CSP), ограничивающую выполнение inline-скриптов.
• Ограничить доступ к административной и пользовательской части системы только доверенными сетями, где это возможно.
• Отслеживать обновления проекта feelcrm-os и установить патч сразу после его появления.

Итог: уязвимость средней критичности, но с публично доступным эксплойтом и без официального исправления. До выпуска патча организациям, использующим feelcrm-os 1.0.0, следует применять митигации на уровне WAF, CSP и экранирования ввода, а также рассмотреть временное отключение endpoint поиска по отделам, если он не критичен для бизнес-процессов.

Источник: CVE Project (cvelistV5)