CVE-2026-15514
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W systemie Metasoft MetaCRM do wersji 6.4.0 Beta06 wykryto podatność na iniekcję SQL w komponencie PHPRPC Remote Call Interface. Luka występuje w pliku /customizemt/xkq/rpc.jsp, gdzie funkcja RPCService.query nieprawidłowo przetwarza argument phprpc_args. Atak może być przeprowadzony zdalnie, a publicznie dostępny exploit umożliwia jego wykorzystanie.
Ocena ryzyka
Organizacja narażona jest na zdalne przejęcie kontroli nad bazą danych poprzez iniekcję SQL, co może prowadzić do wycieku, modyfikacji lub usunięcia poufnych danych klientów i firmy.
Rekomendacja
Należy natychmiast zaktualizować system MetaCRM do najnowszej dostępnej wersji lub zastosować tymczasowe zabezpieczenia, takie jak filtrowanie danych wejściowych w pliku rpc.jsp. W przypadku braku wsparcia ze strony producenta rozważ migrację na alternatywne rozwiązanie CRM.
Inne podatności w MetaCRM
Zobacz wszystkie- CVE-2026-16324Wysokie
Podatność w Metasoft 美特软件 MetaCRM do wersji 6.4.0 Beta06. Nieznana funkcja w pliku /business/qnaire/upload.jsp pozwala na nieograniczone przesyłanie plików poprzez argument File. Atak może być przeprowadzony zdalnie, exploit jest publicznie dostępny.
- CVE-2026-10205Średnie
W systemie MetaCRM 6.4.0 firmy Metasoft 美特软件 wykryto podatność w pliku develop/systparam/softlogo/upload.jsp. Nieznana funkcja umożliwia nieograniczone przesyłanie plików. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in Metasoft 美特软件 MetaCRM up to 6.4.0 Beta06. This vulnerability affects the function RPCService.query of the file /customizemt/xkq/rpc.jsp of the component PHPRPC Remote Call Interface. Executing a manipulation of the argument phprpc_args can lead to sql injection. The attack can be launched remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.