CVE-2023-5966
رفع غير مقيد لملف بنوع خطير في EspoCRM
- تم النشر
- 30/11/2023
- محدث
- 20/04/2026
- تخصيص CNA
- INCIBE
- الأدلة المرصودة
- 08/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:Hمنخفض · الثلاثين يومًا القادمة
- المئوية
- 62.0%
- تاريخ الموديل
- 21/09/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
مهاجم مُصادَق بصلاحيات مرتفعة يمكنه رفع ملف zip مُصمَّم خصيصًا إلى خادم EspoCRM في الإصدار 7.2.5، عبر نموذج نشر الامتداد، مما قد يؤدي إلى تنفيذ كود PHP عشوائي.
المصادر
2إثبات مفهوم لاستغلال CVE-2023-5966، وهي ثغرة رفع ملفات تعسفية في EspoCRM 2.7.4 والإصدارات الأقدم، مما يتيح تنفيذ الأكواد عن بُعد عبر قشرة ويب.
استغلال إثبات المفهوم لتنفيذ كود PHP تعسفي مصادق عليه في EspoCRM 7.2.5 عبر تحميل ملف zip خبيث، بما في ذلك حمولة قشرة ويب.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.