Krayin CRM 2.1.0 的 CVE-2025-3568 提权漏洞利用：恶意 SVG 文件窃取 XSRF token 接管管理员账户

攻击者利用 CVE-2025-3568，通过向管理员发送含恶意 JavaScript 的 SVG 附件，在管理员打开后窃取 XSRF-TOKEN cookie，并向未校验当前密码的 /admin/settings/users/edit 端点发送伪造 POST 请求修改管理员密码，最终实现完全管理员账户接管。