CVE-2026-38526

CVSS 9.9 CRITICALEPSS 0.8%CWE-434

Vexday Risk Score

48Atenção

Decisão SSVC (CISA)

Attend

PoC disponível → acompanhar de perto

CVSS 9.9EPSS 0.8%KEV nãoPoC públicaNuclei —Metasploit —Patch —

Ciclo de vida

14 abr 2026Publicada no NVD

16 mai 2026PoC pública

Recomendação: Planejar correção próxima — já existe PoC pública.

An authenticated arbitrary file upload vulnerability in the /admin/tinymce/upload endpoint of Webkul Krayin CRM v2.2.x allows attackers to execute arbitrary code via uploading a crafted PHP file.

CVSS:3.1/AC:L/AV:N/A:H/C:H/I:H/PR:L/S:C/UI:N

Produtos afetados

n/a · n/a

PoCs públicas encontradas — 3

githubgithub.com/NathanHimself/CVE-2026-38526-PoC★ 4 githubgithub.com/pawpic/CVE-2026-38526-POC★ 0 cve_referencegithub.com/TREXNEGRO/Security-Advisories/blob/main/CVE-2026-38526/poc.mdnão verificado

⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.

Quer saber se a sua infraestrutura está exposta a isto?

Falar com a TrueHacking →

Referências

https://github.com/krayin/laravel-crm https://github.com/TREXNEGRO/Security-Advisories/blob/main/CVE-2026-38526/poc.md https://github.com/TREXNEGRO/Security-Advisories/tree/main/CVE-2026-38526