CVE-2026-118686
Publiée le 2026-10-28 · Dernière modification le 2026-10-28
Les versions d'EspoCRM antérieures à 9.3.11 et 10.0.8 sont concernées. Ce logiciel est utilisé pour la gestion de la relation client et propose une API pour l'intégration de données. La faille se situe dans l'expression régulière utilisée pour masquer les mots de passe lors de la gestion des erreurs de l'API, laquelle consomme un excès de CPU lors du traitement de corps de requête très longs.
Un attaquant peut faire planter ou ralentir votre serveur jusqu'à l'indisponibilité en envoyant quelques requêtes API volumineuses. Il s'agit d'une attaque par déni de service qui ne nécessite ni authentification ni interaction de l'utilisateur. Comme elle peut être déclenchée à distance via le réseau avec une faible complexité, elle est relativement facile à exécuter.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
EspoCRM before 9.3.11 and 10.x before 10.0.8 contains a denial of service vulnerability in which the password-redaction regular expression applied during API error handling consumes excessive CPU on long request bodies. Unauthenticated remote attackers can concurrently send a small number of large API requests to exhaust server workers, making EspoCRM slow or unavailable to legitimate users.