CVE-2026-41452: Kritische Lücke in Krayin CRM ermöglicht Kontoübernahme
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.In der Open-Source-Software Krayin CRM wurde eine kritische Schwachstelle mit der Kennung CVE-2026-41452 identifiziert, die laut Erstmeldung von Jiva Security mit einem CVSS-Score von 9.3 (CVSS 4.0, NVD-Validierung ausstehend) bewertet wird. Die Lücke betrifft die Version 2.2.4 und ermöglicht es unauthentifizierten Angreifern, das primäre Administratorkonto zu übernehmen und somit vollen Zugriff auf alle im System gespeicherten Daten zu erlangen.
Die Sicherheitslücke entsteht durch eine unzureichende Authentifizierungsprüfung in der Installationsroutine von Krayin CRM. Eine Komponente, die nur während des initialen Setups zugänglich sein sollte, bleibt auch bei bereits installierten Systemen erreichbar. Angreifer können diese Schwäche ausnutzen, indem sie eine speziell gestaltete HTTP-POST-Anfrage an den Endpunkt /admin-config-setup senden, wie im Jiva Security Writeup detailliert beschrieben.
Durch das Hinzufügen des Headers X-Requested-With: XMLHttpRequest wird eine Sicherheitsprüfung umgangen. Dies erlaubt es, die Funktion zur Konfiguration des Administratorkontos erneut auszuführen. Angreifer können in ihrer Anfrage einen neuen Benutzernamen, eine E-Mail-Adresse und ein Passwort für den Administrator festlegen. Die Anwendung überschreibt daraufhin die bestehenden Administrator-Zugangsdaten, ohne eine Authentifizierung zu verlangen. In der Folge können sich die Angreifer mit den neuen Daten anmelden und erhalten die vollständige Kontrolle über das CRM-System, einschließlich sensibler Kundendaten, Vertragsdetails und interner Kommunikation.
Krayin CRM war in den vergangenen Monaten bereits mehrfach durch kritische Sicherheitslücken aufgefallen: Im April 2026 wurden unter anderem CVE-2026-38526 (Remote Code Execution, CVSS 9.9) und CVE-2026-38529 (Account Takeover via Broken Object-Level Authorization, CVSS 8.8) bekannt. Dies unterstreicht die Notwendigkeit eines kontinuierlichen Drittanbieter-Risikomanagements für alle Organisationen, die Krayin CRM einsetzen oder als Drittanbieter-Software evaluieren. Quellen: SOCRadar – CVE-2026-38526, SentinelOne – CVE-2026-38529.
Empfohlene Maßnahmen für Betreiber
Unternehmen, die Krayin CRM in der Version 2.2.4 einsetzen, sollten umgehend handeln, um ihre Systeme abzusichern.
Sofortmaßnahmen:
Systeme identifizieren und aktualisieren: Prüfen Sie alle Instanzen von Krayin CRM auf die betroffene Version 2.2.4. Der Hersteller hat laut offiziellem CHANGELOG einen Fix für den Authentifizierungs-Bypass in einem nachfolgenden Release der 2.2.x-Serie bereitgestellt; die aktuellste bekannte stabile Version ist v2.2.3 oder höher (die genaue Zuordnung des Fixes zu CVE-2026-41452 steht noch aus). Führen Sie ein Update auf die neueste verfügbare Version durch.
Kurzfristige Absicherung:
Zugriff einschränken: Falls ein sofortiges Update nicht möglich ist, sollte der Zugriff auf den Installer-Endpunkt /admin-config-setup auf Netzwerkebene oder über eine Web Application Firewall (WAF) blockiert werden, um den Angriffsvektor zu mitigieren.
Hinweis für Unternehmen in Deutschland und der EU: Wer Krayin CRM selbst hostet und personenbezogene Daten verarbeitet, unterliegt bei einem erfolgreichen Angriff der DSGVO-Meldepflicht gemäß Art. 33 DSGVO (72-Stunden-Frist gegenüber der zuständigen Aufsichtsbehörde). Darüber hinaus können NIS-2-pflichtige Organisationen im Rahmen ihrer Sorgfaltspflichten zur unverzüglichen Behebung kritischer Schwachstellen verpflichtet sein.
Wie EASM exponierte CRM-Systeme aufdeckt
Schwachstellen wie CVE-2026-41452 betreffen vor allem Systeme, die direkt aus dem Internet erreichbar sind. Oft handelt es sich dabei um nicht dokumentierte oder vergessene Installationen (Schatten-IT), die im Rahmen von Projekten oder durch einzelne Abteilungen aufgesetzt wurden und nicht der zentralen IT-Verwaltung unterliegen.
Eine External Attack Surface Management (EASM)-Plattform wie LocateRisk inventarisiert kontinuierlich und automatisiert alle extern erreichbaren IT-Systeme eines Unternehmens. Dabei werden auch selbst gehostete Anwendungen wie Krayin CRM, die unter der eigenen Domain oder in zugehörigen IP-Bereichen betrieben werden, identifiziert. Durch die automatisierte Erkennung solcher Systeme erhalten Sicherheitsverantwortliche einen vollständigen Überblick über ihre tatsächliche Angriffsfläche. Dies ermöglicht es ihnen, betroffene CRM-Instanzen proaktiv zu identifizieren und die notwendigen Sicherheitsmaßnahmen einzuleiten, bevor eine Schwachstelle ausgenutzt werden kann.
LocateRisk ist eine in Deutschland entwickelte und gehostete Lösung, die datenschutzkonform betrieben wird und Anwender bei der Erfüllung von DSGVO-, BSI-IT-Grundschutz- und NIS-2-Anforderungen unterstützt.
CVE-2026-41452 bezeichnet laut Erstmeldung von Jiva Security eine fehlende Authentifizierungsprüfung in der Installer-Middleware von Krayin CRM 2.2.4. Unauthentifizierte Angreifer können durch eine speziell gestaltete HTTP-POST-Anfrage mit dem Header X-Requested-With: XMLHttpRequest die CanInstall-Middleware-Prüfung umgehen und das primäre Administratorkonto mit beliebigen Zugangsdaten überschreiben.
Betroffen ist ausschließlich Krayin CRM in der Version 2.2.4. Der offizielle CHANGELOG des Herstellers bestätigt die Behebung einer Authentifizierungsumgehung im Installer in einem nachfolgenden Release der 2.2.x-Serie; die aktuellste bekannte stabile Version ist v2.2.3 oder höher. Die formale Zuordnung des Patches zu CVE-2026-41452 steht zum Zeitpunkt der Veröffentlichung dieses Artikels noch aus. Betreiber sollten umgehend auf die neueste verfügbare Version aktualisieren.
Als Sofortmaßnahme sollte der Endpunkt /admin-config-setup auf Netzwerkebene oder über eine Web Application Firewall (WAF) gesperrt werden, sodass er von außen nicht erreichbar ist. Zusätzlich empfiehlt es sich, alle aktiven Administrator-Zugangsdaten auf unerwünschte Änderungen zu prüfen und Zugriffsprotokoll-Einträge auf verdächtige POST-Anfragen an den genannten Endpunkt zu untersuchen.
Stand: 03.08.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Grobe Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2024-3094
Passive Bewertung
Hinweise zur CVEHinweise gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français