Rukovoditel CRM 在 3.6.4 及其更早版本中 Zadarma 电信 API 端点 (/api/tel/zadarma.php) 存在一个反射型跨站脚本 (XSS) 漏洞。应用程序直接反射

Rukovoditel CRM (3.6.4版本及更早版本) 中的CVE-2026-31845漏洞，由于存在反射型跨站脚本攻击（XSS）漏洞而构成重大风险。 Zadarma电话API端点（/api/tel/zadarma.php）中的'zd_echo' GET参数未得到适当的清理，允许攻击者将恶意JavaScript代码注入到HTTP响应中。这可能导致恶意脚本在合法用户的浏览器中执行，从而可能危及其登录凭据、敏感数据或CRM应用程序的完整性。CVSS评分达到9.3，表明需要紧急修复。

Organizations using Rukovoditel CRM versions 3.6.4 and earlier, particularly those relying on the Zadarma telephony integration, are at significant risk. Shared hosting environments where multiple customers share the same CRM instance are especially vulnerable, as a compromise of one customer could potentially impact others.

• php: Examine web server access logs for requests containing the 'zd_echo' parameter with unusual or obfuscated values.

grep 'zd_echo=[a-zA-Z0-9;,"'<>]' /var/log/apache2/access.log

• generic web: Use curl to test the endpoint with a simple JavaScript payload: curl 'http://your-crm-url/api/tel/zadarma.php?zd_echo=<script>alert("XSS")</script>' and check the response for the alert box. • generic web: Check response headers for Content-Type: text/html when the 'zd_echo' parameter is present, indicating potential lack of proper encoding.

1. 2026-04-11Disclosure

   disclosure

1. 已保留2026-03-09
2. 发布日期2026-04-11
3. 修改日期2026-04-13
4. EPSS 更新日期2026-04-19

针对CVE-2026-31845的主要缓解措施是将Rukovoditel CRM更新到修复后的版本（高于3.6.4）。此更新应包括对'zd_echo'参数实施强大的输入验证和输出编码。此外，建议实施内容安全策略（CSP），以限制应用程序中可以执行的脚本来源。作为临时措施，如果/api/tel/zadarma.php端点不是必需的，则可以禁用它，或者将访问限制为受信任的IP地址。在应用任何缓解措施后，必须进行彻底的测试以确保其有效性。