CVE-2022-23940
SuiteCRM حتى الإصدار 7.12.1 و8.x حتى الإصدار 8.0.1 يسمح بتنفيذ التعليمات البرمجية عن بُعد. يمكن للمستخدمين المصادق عليهم الذين لديهم حق الوصول إلى وحدة...
- تم النشر
- 07/03/2022
- محدث
- 03/08/2024
- تخصيص CNA
- mitre
- الأدلة المرصودة
- 08/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hمرتفع · الثلاثين يومًا القادمة
- المئوية
- 99.0%
- تاريخ الموديل
- 13/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
SuiteCRM حتى الإصدار 7.12.1 و8.x حتى الإصدار 8.0.1 يسمح بتنفيذ التعليمات البرمجية عن بُعد. يمكن للمستخدمين المصادق عليهم الذين لديهم حق الوصول إلى وحدة التقارير المجدولة تحقيق ذلك من خلال استغلال إلغاء تسلسل PHP في خاصية email_recipients. باستخدام طلب مُصمم بعناية، يمكنهم إنشاء تقرير ضار يحتوي على حمولة إلغاء تسلسل PHP في حقل email_recipients. بمجرد وصول شخص ما إلى هذا التقرير، سيقوم الخادم الخلفي بإلغاء تسلسل محتوى حقل email_recipients ويتم تنفيذ الحمولة. تتضمن تبعيات المشروع عددًا من الأدوات المثيرة للاهتمام لإلغاء تسلسل PHP (مثل Monolog/RCE1 من phpggc) التي يمكن استخدامها لتنفيذ التعليمات البرمجية.
المصادر
- CVE-2022-23940استغلال
PoC لـ CVE-2022-23940
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.