CMS и CRM ломаются не «через хак», а через типовые дыры в интеграциях и правах

CMS и CRM ломаются не «через хак», а через типовые дыры в интеграциях и правах

Проверка популярных CMS и маркетинговых CRM почти всегда упирается в одно и то же: избыточные роли, слабая изоляция плагинов, публичные вебхуки и токены, живущие дольше сеанса. Если у компонента есть доступ к базе, очередям или SMTP, он становится не расширением, а частью периметра.

Типовые векторы атаки:
— загрузка файлов без строгой проверки MIME, расширения и пути хранения;
— XSS в шаблонах, полях лид-форм и админских комментариях;
— CSRF на действиях, меняющих конфигурацию, ACL и API-ключи;
— SSRF через предпросмотр ссылок, импорт фидов, callback URL.

В CRM отдельный риск создают интеграции с рекламными кабинетами, трекерами и ETL. Один скомпрометированный сервисный аккаунт часто даёт доступ к контактам, сегментам, рассылкам и истории кампаний. Уязвимость здесь редко выглядит как «взлом сайта»; чаще это тихая эскалация привилегий через доверенную цепочку.

Минимизация риска строится не на «закрыть всё», а на разбиении доверия: отдельные ключи на каждый коннектор, короткоживущие токены, запрет wildcard-прав, allowlist для исходящих запросов, sandbox для загрузок, CSP и изоляция админки по сети. Проверяйте логи, истина всегда скрыта в них.

Периметр не заканчивается на фаерволе, он заканчивается на последнем микросервисе.