CVE-2026-31845: XSS Refletido no Endpoint da API Zadarma do Rukovoditel CRM

Visão geral

O registro descreve uma fraqueza de cross-site scripting refletido (CWE-79) no endpoint de API de telefonia Zadarma, em /api/tel/zadarma.php, do Rukovoditel CRM na versão 3.6.4 e anteriores. Segundo o registro, o valor do parâmetro GET 'zd_echo' é incluído na resposta HTTP sem sanitização, codificação de saída ou restrições de tipo de conteúdo.

Impacto

O CNA atribui pontuação base CVSS 3.1 de 9,3, com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N.
Conforme esse vetor, o ataque é remoto pela rede, com baixa complexidade e sem necessidade de privilégios, mas exige interação do usuário e altera o escopo, com alto impacto na confidencialidade e na integridade e sem impacto na disponibilidade.
Uma exploração bem-sucedida de XSS refletido permitiria a execução de script no navegador da vítima, o que poderia expor dados ou ações disponíveis àquele usuário no CRM.

Produtos e versões afetados

Rukovoditel CRM 3.6.4 e anteriores, conforme a descrição do registro.
O registro não contém lista estruturada de versões afetadas nem versão corrigida.

Status de exploração

O catálogo KEV da CISA não lista este CVE no registro.
Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
Os valores EPSS do registro (probabilidade 0,00478, percentil 0,39509) são uma estimativa estatística e não confirmam exploração.

Correção e mitigação

Consulte a publicação do fórum do fabricante para orientações e eventual versão corrigida: Fórum Rukovoditel.
Atualize para uma versão posterior à 3.6.4 somente após o fabricante confirmar que ela trata este problema. O registro não identifica essa versão.
Se a integração com a Zadarma não for utilizada, restrinja ou desative o acesso ao endpoint.
Aplique controles de defesa em profundidade, como uma Content-Security-Policy bem definida e revisão da codificação de saída na aplicação.
Limite a exposição das interfaces do CRM a usuários confiáveis e evite abrir links não confiáveis enquanto estiver autenticado no sistema.

Orientação de detecção

Revise os logs do servidor web e da aplicação em busca de requisições a /api/tel/zadarma.php com valores incomumente longos ou semelhantes a script no parâmetro 'zd_echo'.
Monitore conexões de saída inesperadas ou atividade de sessão incomum de usuários do CRM após tais requisições.
Trate qualquer ocorrência como possível indicador que requer investigação, e não como comprometimento confirmado.

Limitações das informações disponíveis

O registro não informa versões corrigidas, a faixa completa de versões afetadas nem dados CVSS emitidos pelo fabricante.
O registro indica status de fonte adiado e não traz dados de ADP ou KEV.
A data de publicação é 2026-04-11 e a data EPSS do registro é 2026-10-13; essa discrepância não é explicada pelo registro.
O conteúdo do fórum do fabricante não foi analisado além do que o registro fornece.

Perguntas frequentes

Quais versões do Rukovoditel CRM são afetadas?

O registro informa que a versão 3.6.4 e as anteriores são afetadas. Não há versão corrigida informada, por isso os administradores devem consultar o fórum do fabricante.

Esta vulnerabilidade está sendo explorada ativamente?

Este CVE não consta no catálogo KEV da CISA neste registro, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.