В EspoCRM 9.3.3 выявлена уязвимость CVE-2026-33656, связанная со встроенным движком формул. В отличие от стандартного API, этот движок записывает данные напрямую, не проверяя ограничения на уровне отдельных полей.
Через движок формул атакующий мог подменить поле sourceId у вложений, которое задаёт путь к файлу на диске. Это открывало возможность читать и записывать файлы в произвольные места — а подмена .htaccess позволяла заставить сервер исполнять загруженный файл как сценарий.
В версии EspoCRM 9.3.4 разработчик устранил проблему, добавив очистку имён файлов с помощью функции basename. Патч вышел в течение суток после получения сообщения об уязвимости.
Через движок формул атакующий мог подменить поле sourceId у вложений, которое задаёт путь к файлу на диске. Это открывало возможность читать и записывать файлы в произвольные места — а подмена .htaccess позволяла заставить сервер исполнять загруженный файл как сценарий.
В версии EspoCRM 9.3.4 разработчик устранил проблему, добавив очистку имён файлов с помощью функции basename. Патч вышел в течение суток после получения сообщения об уязвимости.