CVE-2026-16324
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Podatność w Metasoft 美特软件 MetaCRM do wersji 6.4.0 Beta06. Nieznana funkcja w pliku /business/qnaire/upload.jsp pozwala na nieograniczone przesyłanie plików poprzez argument File. Atak może być przeprowadzony zdalnie, exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może przesłać złośliwe pliki na serwer, co może prowadzić do przejęcia kontroli nad systemem CRM i dostępem do danych klientów.
Rekomendacja
Należy skontaktować się z producentem w celu uzyskania poprawki lub rozważyć zastąpienie systemu, jeśli producent nie odpowiada.
Inne podatności w MetaCRM
Zobacz wszystkie- CVE-2026-15514Wysokie
W systemie Metasoft MetaCRM do wersji 6.4.0 Beta06 wykryto podatność na iniekcję SQL w komponencie PHPRPC Remote Call Interface. Luka występuje w pliku /customizemt/xkq/rpc.jsp, gdzie funkcja RPCService.query nieprawidłowo przetwarza argument phprpc_args. Atak może być przeprowadzony zdalnie, a publicznie dostępny exploit umożliwia jego wykorzystanie.
- CVE-2026-10205Średnie
W systemie MetaCRM 6.4.0 firmy Metasoft 美特软件 wykryto podatność w pliku develop/systparam/softlogo/upload.jsp. Nieznana funkcja umożliwia nieograniczone przesyłanie plików. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in Metasoft 美特软件 MetaCRM up to 6.4.0 Beta06. The impacted element is an unknown function of the file /business/qnaire/upload.jsp. Such manipulation of the argument File leads to unrestricted upload. The attack may be launched remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.