B
今週中
Krayin CRM 2.2.4 以前に、認証なしで管理者アカウントを作成できる IDOR 脆弱性
📌 一言でいうと
Krayin CRM 2.2.4 以前に、認証なしで管理者アカウントを作成できる IDOR 脆弱性が発見されました。攻撃者は特定の API エンドポイントにリクエストを送信することで、任意の管理者ユーザーを登録し、システムを完全に制御できる可能性があります。この脆弱性は、インストーラーのバイパスに関連しています。
🔍該当判定
- 顧客管理システムに「Krayin CRM」を利用している
- Krayin CRMのバージョンが 2.2.4 以前である
- 自社サーバーやDocker環境でKrayin CRMを構築・運用している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
最新バージョンへのアップデートを確認し、不必要なインストール API エンドポイントへのアクセスを制限してください。また、意図しない管理者アカウントが作成されていないか監査することを推奨します。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】Krayin CRM CVE-2026-100885 対応について
お疲れさまです。Krayin CRM の脆弱性に関する情報共有です。
■ 概要
Krayin CRM 2.2.4 以前において、認証なしで管理者アカウントを作成可能な IDOR (CVE-2026-100885) が報告されました。攻撃者が `/install/api/admin-config-setup` エンドポイントを悪用することで、任意の管理者権限を持つユーザーを登録し、システムを完全に乗っ取ることが可能です。
■ 影響範囲
- 対象製品: Krayin CRM
- 対象バージョン: 2.2.4 以前
■ 対応手順
1. 利用中の Krayin CRM のバージョンを確認してください。
2. 修正パッチの適用、または最新バージョンへのアップデートを実施してください。
3. 管理者ユーザー一覧を確認し、身に覚えのないアカウントが作成されていないか点検してください。
■ 参考情報
- Exploit-DB EDB-ID: 52687
- CVE-2026-100885
対応優先度: 高
対応期限: 速やかに
お疲れさまです。Krayin CRM の脆弱性に関する情報共有です。
■ 概要
Krayin CRM 2.2.4 以前において、認証なしで管理者アカウントを作成可能な IDOR (CVE-2026-100885) が報告されました。攻撃者が `/install/api/admin-config-setup` エンドポイントを悪用することで、任意の管理者権限を持つユーザーを登録し、システムを完全に乗っ取ることが可能です。
■ 影響範囲
- 対象製品: Krayin CRM
- 対象バージョン: 2.2.4 以前
■ 対応手順
1. 利用中の Krayin CRM のバージョンを確認してください。
2. 修正パッチの適用、または最新バージョンへのアップデートを実施してください。
3. 管理者ユーザー一覧を確認し、身に覚えのないアカウントが作成されていないか点検してください。
■ 参考情報
- Exploit-DB EDB-ID: 52687
- CVE-2026-100885
対応優先度: 高
対応期限: 速やかに
Subject: [Security Advisory] Krayin CRM CVE-2026-100885
Dear IT Administration Team,
We are sharing information regarding a critical vulnerability in Krayin CRM.
■ Overview
An IDOR vulnerability (CVE-2026-100885) has been identified in Krayin CRM v2.2.4 and earlier. This flaw allows an unauthenticated attacker to create a new administrative account by sending a POST request to the `/install/api/admin-config-setup` endpoint, leading to full system compromise.
■ Scope
- Product: Krayin CRM
- Affected Versions: <= 2.2.4
■ Mitigation Steps
1. Verify the version of Krayin CRM currently in use.
2. Update the software to the latest patched version immediately.
3. Audit the administrative user list for any unauthorized accounts.
■ Reference
- Exploit-DB EDB-ID: 52687
- CVE-2026-100885
Priority: High
Deadline: Immediate
Dear IT Administration Team,
We are sharing information regarding a critical vulnerability in Krayin CRM.
■ Overview
An IDOR vulnerability (CVE-2026-100885) has been identified in Krayin CRM v2.2.4 and earlier. This flaw allows an unauthenticated attacker to create a new administrative account by sending a POST request to the `/install/api/admin-config-setup` endpoint, leading to full system compromise.
■ Scope
- Product: Krayin CRM
- Affected Versions: <= 2.2.4
■ Mitigation Steps
1. Verify the version of Krayin CRM currently in use.
2. Update the software to the latest patched version immediately.
3. Audit the administrative user list for any unauthorized accounts.
■ Reference
- Exploit-DB EDB-ID: 52687
- CVE-2026-100885
Priority: High
Deadline: Immediate