CVE-2026-38526

CVSS 9.9 CRITICALEPSS 0.8%CWE-434

Vexday Risk Score

48Atención

Decisión SSVC (CISA)

Attend

PoC disponible → seguir de cerca

CVSS 9.9EPSS 0.8%KEV nãoPoC públicaNuclei —Metasploit —Patch —

Ciclo de vida

14 abr 2026Publicada en NVD

16 may 2026PoC pública

Recomendación: Planificar corrección próxima — ya existe PoC pública.

An authenticated arbitrary file upload vulnerability in the /admin/tinymce/upload endpoint of Webkul Krayin CRM v2.2.x allows attackers to execute arbitrary code via uploading a crafted PHP file.

CVSS:3.1/AC:L/AV:N/A:H/C:H/I:H/PR:L/S:C/UI:N

Productos afectados

n/a · n/a

PoCs públicas encontradas — 3

githubgithub.com/NathanHimself/CVE-2026-38526-PoC★ 4 githubgithub.com/pawpic/CVE-2026-38526-POC★ 0 cve_referencegithub.com/TREXNEGRO/Security-Advisories/blob/main/CVE-2026-38526/poc.mdno verificado

⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.

¿Quieres saber si tu infraestructura está expuesta a esto?

Hablar con TrueHacking →

Referencias

https://github.com/krayin/laravel-crm https://github.com/TREXNEGRO/Security-Advisories/blob/main/CVE-2026-38526/poc.md https://github.com/TREXNEGRO/Security-Advisories/tree/main/CVE-2026-38526