CVE-2026-41452: Critical Vulnerability in Krayin CRM Allows Account Takeover
This text was generated using artificial intelligence (AI).In der Open-Source-Software Krayin CRM wurde eine kritische Schwachstelle mit der Kennung CVE-2026-41452 identifiziert, die laut Erstmeldung von Jiva Security mit einem CVSS-Score von 9.3 (CVSS 4.0, NVD-Validierung ausstehend) bewertet wird. Die Lücke betrifft die Version 2.2.4 und ermöglicht es unauthentifizierten Angreifern, das primäre Administratorkonto zu übernehmen und somit vollen Zugriff auf alle im System gespeicherten Daten zu erlangen.
Die Sicherheitslücke entsteht durch eine unzureichende Authentifizierungsprüfung in der Installationsroutine von Krayin CRM. Eine Komponente, die nur während des initialen Setups zugänglich sein sollte, bleibt auch bei bereits installierten Systemen erreichbar. Angreifer können diese Schwäche ausnutzen, indem sie eine speziell gestaltete HTTP-POST-Anfrage an den Endpunkt /admin-config-setup senden, wie im Jiva Security Writeup detailliert beschrieben.
Durch das Hinzufügen des Headers X-Requested-With: XMLHttpRequest wird eine Sicherheitsprüfung umgangen. Dies erlaubt es, die Funktion zur Konfiguration des Administratorkontos erneut auszuführen. Angreifer können in ihrer Anfrage einen neuen Benutzernamen, eine E-Mail-Adresse und ein Passwort für den Administrator festlegen. Die Anwendung überschreibt daraufhin die bestehenden Administrator-Zugangsdaten, ohne eine Authentifizierung zu verlangen. In der Folge können sich die Angreifer mit den neuen Daten anmelden und erhalten die vollständige Kontrolle über das CRM-System, einschließlich sensibler Kundendaten, Vertragsdetails und interner Kommunikation.
Krayin CRM war in den vergangenen Monaten bereits mehrfach durch kritische Sicherheitslücken aufgefallen: Im April 2026 wurden unter anderem CVE-2026-38526 (Remote Code Execution, CVSS 9.9) und CVE-2026-38529 (Account Takeover via Broken Object-Level Authorization, CVSS 8.8) bekannt. Dies unterstreicht die Notwendigkeit eines kontinuierlichen Drittanbieter-Risikomanagements für alle Organisationen, die Krayin CRM einsetzen oder als Drittanbieter-Software evaluieren. Quellen: SOCRadar – CVE-2026-38526, SentinelOne – CVE-2026-38529.
Empfohlene Maßnahmen für Betreiber
Unternehmen, die Krayin CRM in der Version 2.2.4 einsetzen, sollten umgehend handeln, um ihre Systeme abzusichern.
Immediate measures:
Systeme identifizieren und aktualisieren: Prüfen Sie alle Instanzen von Krayin CRM auf die betroffene Version 2.2.4. Der Hersteller hat laut offiziellem CHANGELOG einen Fix für den Authentifizierungs-Bypass in einem nachfolgenden Release der 2.2.x-Serie bereitgestellt; die aktuellste bekannte stabile Version ist v2.2.3 oder höher (die genaue Zuordnung des Fixes zu CVE-2026-41452 steht noch aus). Führen Sie ein Update auf die neueste verfügbare Version durch.
Short-term protection:
Zugriff einschränken: Falls ein sofortiges Update nicht möglich ist, sollte der Zugriff auf den Installer-Endpunkt /admin-config-setup auf Netzwerkebene oder über eine Web Application Firewall (WAF) blockiert werden, um den Angriffsvektor zu mitigieren.
Note for companies in Germany and the EU: Wer Krayin CRM selbst hostet und personenbezogene Daten verarbeitet, unterliegt bei einem erfolgreichen Angriff der DSGVO-Meldepflicht gemäß Art. 33 DSGVO (72-Stunden-Frist gegenüber der zuständigen Aufsichtsbehörde). Darüber hinaus können NIS-2-pflichtige Organisationen im Rahmen ihrer Sorgfaltspflichten zur unverzüglichen Behebung kritischer Schwachstellen verpflichtet sein.
Wie EASM exponierte CRM-Systeme aufdeckt
Schwachstellen wie CVE-2026-41452 betreffen vor allem Systeme, die direkt aus dem Internet erreichbar sind. Oft handelt es sich dabei um nicht dokumentierte oder vergessene Installationen (Schatten-IT), die im Rahmen von Projekten oder durch einzelne Abteilungen aufgesetzt wurden und nicht der zentralen IT-Verwaltung unterliegen.
Eine External Attack Surface Management (EASM)-Plattform wie LocateRisk inventarisiert kontinuierlich und automatisiert alle extern erreichbaren IT-Systeme eines Unternehmens. Dabei werden auch selbst gehostete Anwendungen wie Krayin CRM, die unter der eigenen Domain oder in zugehörigen IP-Bereichen betrieben werden, identifiziert. Durch die automatisierte Erkennung solcher Systeme erhalten Sicherheitsverantwortliche einen vollständigen Überblick über ihre tatsächliche Angriffsfläche. Dies ermöglicht es ihnen, betroffene CRM-Instanzen proaktiv zu identifizieren und die notwendigen Sicherheitsmaßnahmen einzuleiten, bevor eine Schwachstelle ausgenutzt werden kann.
LocateRisk ist eine in Deutschland entwickelte und gehostete Lösung, die datenschutzkonform betrieben wird und Anwender bei der Erfüllung von DSGVO-, BSI-IT-Grundschutz- und NIS-2-Anforderungen unterstützt.
CVE-2026-41452 bezeichnet laut Erstmeldung von Jiva Security eine fehlende Authentifizierungsprüfung in der Installer-Middleware von Krayin CRM 2.2.4. Unauthentifizierte Angreifer können durch eine speziell gestaltete HTTP-POST-Anfrage mit dem Header X-Requested-With: XMLHttpRequest die CanInstall-Middleware-Prüfung umgehen und das primäre Administratorkonto mit beliebigen Zugangsdaten überschreiben.
Betroffen ist ausschließlich Krayin CRM in der Version 2.2.4. Der offizielle CHANGELOG des Herstellers bestätigt die Behebung einer Authentifizierungsumgehung im Installer in einem nachfolgenden Release der 2.2.x-Serie; die aktuellste bekannte stabile Version ist v2.2.3 oder höher. Die formale Zuordnung des Patches zu CVE-2026-41452 steht zum Zeitpunkt der Veröffentlichung dieses Artikels noch aus. Betreiber sollten umgehend auf die neueste verfügbare Version aktualisieren.
Als Sofortmaßnahme sollte der Endpunkt /admin-config-setup auf Netzwerkebene oder über eine Web Application Firewall (WAF) gesperrt werden, sodass er von außen nicht erreichbar ist. Zusätzlich empfiehlt es sich, alle aktiven Administrator-Zugangsdaten auf unerwünschte Änderungen zu prüfen und Zugriffsprotokoll-Einträge auf verdächtige POST-Anfragen an den genannten Endpunkt zu untersuchen.
Stand: 03.08.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
In just a few minutes, check whether there are any indications of a current CVE on your externally visible attack surface.
A rough estimate in just a few minutes via email.
Learn more during a free consultation with a LocateRisk consultant.
You'll receive this by email
companyYour Company, LLC
Verified CVECVE-2024-3094
Passive Assessment
Information About the CVENotes found
Want to find out more, book a demo or simply exchange ideas? We look forward to hearing from you!
We use cookies to optimize our website and our service.
Functional
Always active
Technical storage or access is strictly necessary for the lawful purpose of enabling the use of a particular service expressly requested by the subscriber or user, or for the sole purpose of carrying out the transmission of a message over an electronic communications network.
Preferences
The technical storage or access is necessary for the legitimate purpose of storing preferences that have not been requested by the subscriber or user.
Statistics
The technical storage or access, which is carried out exclusively for statistical purposes.Technical storage or access used solely for anonymous statistical purposes. Without a subpoena, the voluntary consent of your Internet service provider, or additional records from third parties, information stored or accessed for this purpose alone generally cannot be used to identify you.
Marketing
Technical storage or access is necessary to create user profiles, to send advertisements, or to track the user on a website or across multiple websites for similar marketing purposes.
English 
Deutsch 
Français