CVE-2026-41452 : une faille critique dans Krayin CRM permet le piratage de compte
Ce texte a été généré par l'intelligence artificielle (IA).In der Open-Source-Software Krayin CRM wurde eine kritische Schwachstelle mit der Kennung CVE-2026-41452 identifiziert, die laut Erstmeldung von Jiva Security mit einem CVSS-Score von 9.3 (CVSS 4.0, NVD-Validierung ausstehend) bewertet wird. Die Lücke betrifft die Version 2.2.4 und ermöglicht es unauthentifizierten Angreifern, das primäre Administratorkonto zu übernehmen und somit vollen Zugriff auf alle im System gespeicherten Daten zu erlangen.
Die Sicherheitslücke entsteht durch eine unzureichende Authentifizierungsprüfung in der Installationsroutine von Krayin CRM. Eine Komponente, die nur während des initialen Setups zugänglich sein sollte, bleibt auch bei bereits installierten Systemen erreichbar. Angreifer können diese Schwäche ausnutzen, indem sie eine speziell gestaltete HTTP-POST-Anfrage an den Endpunkt /admin-config-setup senden, wie im Jiva Security Writeup detailliert beschrieben.
Durch das Hinzufügen des Headers X-Requested-With: XMLHttpRequest wird eine Sicherheitsprüfung umgangen. Dies erlaubt es, die Funktion zur Konfiguration des Administratorkontos erneut auszuführen. Angreifer können in ihrer Anfrage einen neuen Benutzernamen, eine E-Mail-Adresse und ein Passwort für den Administrator festlegen. Die Anwendung überschreibt daraufhin die bestehenden Administrator-Zugangsdaten, ohne eine Authentifizierung zu verlangen. In der Folge können sich die Angreifer mit den neuen Daten anmelden und erhalten die vollständige Kontrolle über das CRM-System, einschließlich sensibler Kundendaten, Vertragsdetails und interner Kommunikation.
Krayin CRM war in den vergangenen Monaten bereits mehrfach durch kritische Sicherheitslücken aufgefallen: Im April 2026 wurden unter anderem CVE-2026-38526 (Remote Code Execution, CVSS 9.9) und CVE-2026-38529 (Account Takeover via Broken Object-Level Authorization, CVSS 8.8) bekannt. Dies unterstreicht die Notwendigkeit eines kontinuierlichen Drittanbieter-Risikomanagements für alle Organisationen, die Krayin CRM einsetzen oder als Drittanbieter-Software evaluieren. Quellen: SOCRadar – CVE-2026-38526, SentinelOne – CVE-2026-38529.
Empfohlene Maßnahmen für Betreiber
Unternehmen, die Krayin CRM in der Version 2.2.4 einsetzen, sollten umgehend handeln, um ihre Systeme abzusichern.
Mesures d'urgence :
Systeme identifizieren und aktualisieren: Prüfen Sie alle Instanzen von Krayin CRM auf die betroffene Version 2.2.4. Der Hersteller hat laut offiziellem CHANGELOG einen Fix für den Authentifizierungs-Bypass in einem nachfolgenden Release der 2.2.x-Serie bereitgestellt; die aktuellste bekannte stabile Version ist v2.2.3 oder höher (die genaue Zuordnung des Fixes zu CVE-2026-41452 steht noch aus). Führen Sie ein Update auf die neueste verfügbare Version durch.
Couverture à court terme :
Zugriff einschränken: Falls ein sofortiges Update nicht möglich ist, sollte der Zugriff auf den Installer-Endpunkt /admin-config-setup auf Netzwerkebene oder über eine Web Application Firewall (WAF) blockiert werden, um den Angriffsvektor zu mitigieren.
Remarque à l'attention des entreprises en Allemagne et dans l'UE : Wer Krayin CRM selbst hostet und personenbezogene Daten verarbeitet, unterliegt bei einem erfolgreichen Angriff der DSGVO-Meldepflicht gemäß Art. 33 DSGVO (72-Stunden-Frist gegenüber der zuständigen Aufsichtsbehörde). Darüber hinaus können NIS-2-pflichtige Organisationen im Rahmen ihrer Sorgfaltspflichten zur unverzüglichen Behebung kritischer Schwachstellen verpflichtet sein.
Wie EASM exponierte CRM-Systeme aufdeckt
Schwachstellen wie CVE-2026-41452 betreffen vor allem Systeme, die direkt aus dem Internet erreichbar sind. Oft handelt es sich dabei um nicht dokumentierte oder vergessene Installationen (Schatten-IT), die im Rahmen von Projekten oder durch einzelne Abteilungen aufgesetzt wurden und nicht der zentralen IT-Verwaltung unterliegen.
Eine External Attack Surface Management (EASM)-Plattform wie LocateRisk inventarisiert kontinuierlich und automatisiert alle extern erreichbaren IT-Systeme eines Unternehmens. Dabei werden auch selbst gehostete Anwendungen wie Krayin CRM, die unter der eigenen Domain oder in zugehörigen IP-Bereichen betrieben werden, identifiziert. Durch die automatisierte Erkennung solcher Systeme erhalten Sicherheitsverantwortliche einen vollständigen Überblick über ihre tatsächliche Angriffsfläche. Dies ermöglicht es ihnen, betroffene CRM-Instanzen proaktiv zu identifizieren und die notwendigen Sicherheitsmaßnahmen einzuleiten, bevor eine Schwachstelle ausgenutzt werden kann.
LocateRisk ist eine in Deutschland entwickelte und gehostete Lösung, die datenschutzkonform betrieben wird und Anwender bei der Erfüllung von DSGVO-, BSI-IT-Grundschutz- und NIS-2-Anforderungen unterstützt.
CVE-2026-41452 bezeichnet laut Erstmeldung von Jiva Security eine fehlende Authentifizierungsprüfung in der Installer-Middleware von Krayin CRM 2.2.4. Unauthentifizierte Angreifer können durch eine speziell gestaltete HTTP-POST-Anfrage mit dem Header X-Requested-With: XMLHttpRequest die CanInstall-Middleware-Prüfung umgehen und das primäre Administratorkonto mit beliebigen Zugangsdaten überschreiben.
Betroffen ist ausschließlich Krayin CRM in der Version 2.2.4. Der offizielle CHANGELOG des Herstellers bestätigt die Behebung einer Authentifizierungsumgehung im Installer in einem nachfolgenden Release der 2.2.x-Serie; die aktuellste bekannte stabile Version ist v2.2.3 oder höher. Die formale Zuordnung des Patches zu CVE-2026-41452 steht zum Zeitpunkt der Veröffentlichung dieses Artikels noch aus. Betreiber sollten umgehend auf die neueste verfügbare Version aktualisieren.
Als Sofortmaßnahme sollte der Endpunkt /admin-config-setup auf Netzwerkebene oder über eine Web Application Firewall (WAF) gesperrt werden, sodass er von außen nicht erreichbar ist. Zusätzlich empfiehlt es sich, alle aktiven Administrator-Zugangsdaten auf unerwünschte Änderungen zu prüfen und Zugriffsprotokoll-Einträge auf verdächtige POST-Anfragen an den genannten Endpunkt zu untersuchen.
Stand: 03.08.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
Vérification rapide CVE
Vérifiez en quelques minutes si votre surface d'attaque visible depuis l'extérieur présente des indices liés à une vulnérabilité CVE actuelle.
Une estimation approximative en quelques minutes par e-mail.
Pour en savoir plus, contactez gratuitement un consultant LocateRisk.
Vous recevrez cela par e-mail
EntreprisesVotre société GmbH
CVE vérifiésCVE-2024-3094
Évaluation passive
Remarques concernant le CVEIndications trouvées
En savoir plus, réserver une démo ou simplement échanger quelques mots ? Nous nous en réjouissons !
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Toujours activé
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English