CVE-2026-23698
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Vtiger CRM w wersji do 8.4.0 zawiera uwierzytelnioną podatność na zdalne wykonanie kodu w funkcji importu modułów administracyjnych. Administrator może przesłać spreparowane archiwum ZIP, które po rozpakowaniu umieszcza dowolne pliki PHP w katalogu modules/ pod korzeniem WWW, bez walidacji typów plików poza manifest.xml.
Ocena ryzyka
Atakujący może uzyskać trwały dostęp do serwera poprzez webshella, omijając warstwę uwierzytelniania i autoryzacji Vtiger CRM, ponieważ Apache bezpośrednio interpretuje pliki PHP z katalogu modules/ przed przekazaniem żądania do aplikacji.
Rekomendacja
Należy natychmiast zaktualizować Vtiger CRM do wersji nowszej niż 8.4.0, jeśli dostępna, oraz ograniczyć uprawnienia kont administratorów i wdrożyć monitorowanie integralności katalogu modules/.
Inne podatności w Vtiger CRM
Zobacz wszystkie- CVE-2016-1713Wysokie
W Vtiger CRM 6.4.0 występuje podatność na nieograniczone przesyłanie plików w klasie Settings_Vtiger_CompanyDetailsSave_Action, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku graficznego z rozszerzeniem wykonywalnym.
- CVE-2024-44779Krytyczne
W systemie vTiger CRM 7.4.0 wykryto podatność na odbity atak XSS w parametrze viewname na stronie głównej. Umożliwia ona atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary poprzez wstrzyknięcie spreparowanego ładunku.
- CVE-2024-44778Krytyczne
W systemie vTiger CRM 7.4.0 w parametrze 'parent' na stronie głównej występuje odbita podatność XSS. Umożliwia ona atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary poprzez wstrzyknięcie spreparowanego ładunku.
- CVE-2024-44777Krytyczne
W systemie vTiger CRM 7.4.0 wykryto podatność na odbity atak XSS w parametrze 'tag' na stronie głównej. Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarce ofiary.
- CVE-2026-23697Wysokie
Vtiger CRM przed wersją 8.4.0 zawiera podatność na uwierzytelnione przesyłanie plików, umożliwiającą użytkownikom o niskich uprawnieniach zdalne wykonanie kodu poprzez przesłanie pliku .phar z dowolnym kodem PHP przez moduł Dokumenty. Podatność wynika z pominięcia rozszerzenia .phar na liście zablokowanych rozszerzeń w pliku config.inc.php oraz z błędnej konfiguracji pliku .htaccess, który jest ignorowany na serwerach Apache 2.4.
- CVE-2024-44776Średnie
W systemie vTiger CRM w wersji 7.4.0 wykryto podatność na otwarte przekierowanie (Open Redirect) w parametrze 'page'. Atakujący może wykorzystać spreparowany URL, aby przekierować użytkownika na złośliwą stronę.
Oryginalny opis (angielski, źródło NVD)
Vtiger CRM through 8.4.0 contains an authenticated remote code execution vulnerability in the admin module import feature that allows administrator-level attackers to upload arbitrary PHP files by submitting a crafted zip archive through the ModuleManager import function, which extracts contents directly into the modules/ directory under the web root without validating file types beyond the manifest.xml descriptor. Attackers can place executable PHP files in the modules/ directory that become directly accessible via HTTP, bypassing Vtiger's authentication and authorization layer entirely since Apache resolves the path and invokes the PHP interpreter before the application routing layer is involved, resulting in a persistent web shell independent of the originating session.