CVE-2026-23697
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Vtiger CRM przed wersją 8.4.0 zawiera podatność na uwierzytelnione przesyłanie plików, umożliwiającą użytkownikom o niskich uprawnieniach zdalne wykonanie kodu poprzez przesłanie pliku .phar z dowolnym kodem PHP przez moduł Dokumenty. Podatność wynika z pominięcia rozszerzenia .phar na liście zablokowanych rozszerzeń w pliku config.inc.php oraz z błędnej konfiguracji pliku .htaccess, który jest ignorowany na serwerach Apache 2.4.
Ocena ryzyka
Organizacja narażona jest na przejęcie kontroli nad serwerem przez nieuwierzytelnionego atakującego, który może wykonać dowolny kod PHP, co może prowadzić do kradzieży danych, modyfikacji systemu lub dalszego rozprzestrzeniania ataku w sieci wewnętrznej.
Rekomendacja
Należy natychmiast zaktualizować Vtiger CRM do wersji 8.4.0 lub nowszej. Dodatkowo, weryfikuj konfigurację serwera Apache, aby upewnić się, że plik .htaccess jest poprawnie interpretowany, oraz rozszerz listę zablokowanych rozszerzeń o .phar.
Inne podatności w Vtiger CRM
Zobacz wszystkie- CVE-2016-1713Wysokie
W Vtiger CRM 6.4.0 występuje podatność na nieograniczone przesyłanie plików w klasie Settings_Vtiger_CompanyDetailsSave_Action, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku graficznego z rozszerzeniem wykonywalnym.
- CVE-2024-44779Krytyczne
W systemie vTiger CRM 7.4.0 wykryto podatność na odbity atak XSS w parametrze viewname na stronie głównej. Umożliwia ona atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary poprzez wstrzyknięcie spreparowanego ładunku.
- CVE-2024-44778Krytyczne
W systemie vTiger CRM 7.4.0 w parametrze 'parent' na stronie głównej występuje odbita podatność XSS. Umożliwia ona atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary poprzez wstrzyknięcie spreparowanego ładunku.
- CVE-2024-44777Krytyczne
W systemie vTiger CRM 7.4.0 wykryto podatność na odbity atak XSS w parametrze 'tag' na stronie głównej. Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarce ofiary.
- CVE-2026-23698Wysokie
Vtiger CRM w wersji do 8.4.0 zawiera uwierzytelnioną podatność na zdalne wykonanie kodu w funkcji importu modułów administracyjnych. Administrator może przesłać spreparowane archiwum ZIP, które po rozpakowaniu umieszcza dowolne pliki PHP w katalogu modules/ pod korzeniem WWW, bez walidacji typów plików poza manifest.xml.
- CVE-2024-44776Średnie
W systemie vTiger CRM w wersji 7.4.0 wykryto podatność na otwarte przekierowanie (Open Redirect) w parametrze 'page'. Atakujący może wykorzystać spreparowany URL, aby przekierować użytkownika na złośliwą stronę.
Oryginalny opis (angielski, źródło NVD)
Vtiger CRM before 8.4.0 contains an authenticated file upload vulnerability that allows low-privileged users to achieve remote code execution by uploading a .phar file containing arbitrary PHP code through the Documents module, bypassing the extension denylist in config.inc.php which omits the .phar extension. The uploaded file is stored with its original .phar extension under the web-accessible storage directory, and a misconfigured .htaccess using Apache 2.2 syntax is silently ignored on Apache 2.4 deployments, allowing unauthenticated HTTP requests to directly execute the uploaded PHP payload.