CMS и CRM чаще ломают не «в лоб», а через плагины, формы и интеграции

CMS и CRM чаще ломают не «в лоб», а через плагины, формы и интеграции

Уязвимость в маркетинговом контуре почти всегда сидит на стыке: CMS отдает страницу, CRM принимает лид, а между ними живут вебхуки, iframe, JS-виджеты и сторонние формы. Типовые векторы: XSS через поля контента, CSRF в админке, SSRF через импорт медиа, IDOR в кабинетах, а также утечки токенов в логах и клиентском коде.

Проверка начинается не с поиска «дырок», а с инвентаризации поверхности атаки:
— все плагины, темы, модули и коннекторы;
— все формы, которые пишут в CRM;
— все callback URL, webhook endpoints и API-ключи;
— все роли, у которых есть доступ к контенту, лидам и экспорту.

Дальше смотрят на контроль ввода и границы доверия. Поля, которые уходят в HTML, должны проходить строгую санацию; админские действия — требовать CSRF-защиту; сервисные токены — иметь минимальные права и ротацию; интеграции — быть сегментированы по окружениям. Отдельно проверяют, не может ли обычный пользователь изменить ID записи, выгрузить чужую базу или подменить адрес доставки вебхука.

Практический режим защиты простой: отключить лишние расширения, включить журналирование критичных операций, ограничить доступ к админке по сети, а для внешних интеграций использовать отдельные учетные записи и короткоживущие секреты. Проверяйте логи, истина всегда скрыта в них.