The disqualify lead action may be executed without CSRF token check

TRUNG BÌNH 5.4CVE-2021-39198 · GHSA-vf7h-6246-hm43 · Công bố 19/11/2021 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2021-39198 là lỗ hổng mức TRUNG BÌNH (CVSS 5.4) ảnh hưởng oro/crm, client relationship management (oroinc).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.31%, cao hơn 24.3% các lỗ hổng khác.
Cách xử lý: cập nhật lên 4.1.17, 4.2.7 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
oro/crm Packagist	`≥ 3.1.0, < 4.1.17≥ 4.2.0, < 4.2.7`	`4.1.174.2.7`
client relationship management oroinc	`≥ 3.1.0, ≤ 3.1.24≥ 4.1.0, ≤ 4.1.15≥ 4.2.0, ≤ 4.2.5`	Chưa có bản vá

Mô tả

Summary

The attacker is able to disqualify any Lead with a Cross-Site Request Forgery (CSRF) attack.

Workarounds

There are no workarounds that address this vulnerability.

Mô tả của NVD

OroCRM is an open source Client Relationship Management (CRM) application. Affected versions we found to suffer from a vulnerability which could an attacker is able to disqualify any Lead with a Cross-Site Request Forgery (CSRF) attack. There are no workarounds that address this vulnerability and all users are advised to update their package.