Résumé
généré automatiquement à partir des données NVDEspoCRM avant 9.3.11, ainsi que les versions 10.x avant 10.0.8, présente une vulnérabilité de déni de service (CWE-1333) : l'expression régulière de masquage des mots de passe, appliquée lors de la gestion des erreurs de l'API, consomme excessivement de CPU sur des corps de requête volumineux. Des attaquants distants non authentifiés peuvent envoyer simultanément quelques requêtes volumineuses pour épuiser les workers du serveur, ce qui ralentit EspoCRM ou le rend indisponible. Score CVSS v3.1 : 7.5 (HIGH).
Description NVD (anglais)
EspoCRM before 9.3.11 and 10.x before 10.0.8 contains a denial of service vulnerability in which the password-redaction regular expression applied during API error handling consumes excessive CPU on long request bodies. Unauthenticated remote attackers can concurrently send a small number of large API requests to exhaust server workers, making EspoCRM slow or unavailable to legitimate users.
EPSS · FIRST.org
0,35 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 28 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 30 oct. 2026, recalculé chaque jour par FIRST.org.
Score CVSS v3.1
Informations
- Publié
- 28 oct. 2026
- Mis à jour
- 28 oct. 2026
- Statut
- Deferred
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
CVEs similaires
Autres vulnérabilités de type CWE-1333
Sache quelles CVE touchent les versions que tu fais tourner.
Ajoute le produit et sa version : cveo.tech affiche tout de suite les CVE qui le concernent, puis t'alerte par email quand une nouvelle CVE le concerne — y compris avant que NVD ait fini son analyse. Gratuit, il suffit d'un compte.