CVE-2026-41452: Kritisk fejl i Krayin CRM 2.2.4

CVE-2026-41452 er en sårbarhed i Krayin CRM version 2.2.4, hvor installationsdelen af systemet ikke tjekker, om en bruger er logget ind, før den udfører kritiske handlinger. Fejltypen kaldes manglende autentificering (CWE-306), hvilket betyder, at en funktion, der burde kræve login, kan tilgås frit. Ved at sende en forfalsket HTTP POST-forespørgsel med headeren X-Requested-With: XMLHttpRequest til endepunktet admin-config-setup, kan en angriber omgå den kontrol, der normalt sender brugere videre til installationsguiden. Angriberen kan derefter angive vilkårligt navn, e-mail og adgangskode, som systemet gemmer direkte på den indbyggede administratorkonto, uden at bede om login først.

Sårbarheden rammer virksomheder og kommuner, der bruger Krayin CRM version 2.2.4 til at håndtere kunde- og salgsdata. Krayin er et open source CRM-system bygget på Laravel, som mange mindre virksomheder selv installerer og drifter på egne servere eller hos en hostingpartner. Alle installationer, hvor CRM-systemet kan tilgås fra internettet, og hvor installationsmiddleware’en ikke er fjernet eller blokeret efter opsætning, er sårbare.

En angriber, der ikke kender brugernavn eller adgangskode i forvejen, kan overtage administratorkontoen og få fuld adgang til alle kundedata, salgsmuligheder og kommunikationshistorik i CRM-systemet. Angriberen kan læse, ændre og slette data, oprette nye brugere og bruge adgangen som springbræt til andre systemer, hvis CRM’en er koblet til e-mail eller andre integrationer. For en dansk virksomhed betyder det risiko for tab af kundedata, brud på persondataforordningen og mulig afpresning, hvis data bagefter krypteres eller lækkes.

Sårbarheden har en CVSS-score på 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen godkendelse, ingen brugerinteraktion, og kan udføres over netværket med lav kompleksitet. Det betyder, at enhver, der kan sende en forespørgsel til CRM-serveren, kan udnytte fejlen uden at logge ind eller narre en medarbejder til at klikke på noget. Den offentliggjorte beskrivelse indeholder en detaljeret teknisk fremgangsmåde, hvilket øger risikoen for, at fejlen udnyttes i praksis.

Sådan lukker I hullet og begrænser skaden:

1. Bloker adgang til installationsstierne, herunder admin-config-setup, fra internettet via firewall eller webserverkonfiguration. Dette lukker det konkrete angrebspunkt med det samme.
2. Undersøg, om der findes en opdateret version af Krayin CRM, hvor installationsmiddleware’en er rettet, og opdater så snart den er tilgængelig.
3. Tjek administratorkontoen for uautoriserede ændringer: nye brugere, ændrede e-mailadresser eller ukendte adgangskodeskift.
4. Skift adgangskoder på alle administratorkonti, og gennemgå webserverens logs for mistænkelige POST-forespørgsler til admin-config-setup.
5. Placér CRM-serveren bag VPN eller IP-begrænsning, hvis systemet ikke behøver være tilgængeligt fra det åbne internet.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere, om systemet allerede er blevet kompromitteret, eller hvis I mangler ressourcer til at lukke hullet i dag.