CVE‑2024‑58258 – SugarCRM SSRF & Local File Disclosure

Über

Dieses Repository bietet einen Proof-of-Concept für CVE‑2024‑58258, eine SugarCRM (<13.0.4 / <14.0.1) Schwachstelle, bei der Benutzereingaben in der /css/preview API als LESS interpretiert werden, was einen nicht authentifizierten SSRF oder lokalen Dateizugriff ermöglicht.

Betroffene Versionen

• Alle kommerziellen Editionen vor 13.0.4
• Alle kommerziellen Editionen vor 14.0.1

Beschreibung

SugarCRM bereinigt benutzergelieferte GET-Parameter im REST-Endpunkt /css/preview nicht ordnungsgemäß. Die Eingabe wird als LESS-Code interpretiert, was Angreifern erlaubt, beliebige LESS-Direktiven einzuschleusen.
Der Missbrauch von @import kann Folgendes ermöglichen: - SSRF (Server‑Side Request Forgery) - Lokale Datei-Offenlegung

Dies kann zur Offenlegung interner oder sensibler Daten führen.

CLI Usage

usage: main.py [options] target file_or_url

positional arguments:
  target               Target SugarCRM URL
  file_or_url          File path or URL to access

optional arguments:
  -p, --proxy PROXY    Proxy server
  -v, --verbose        Verbose output
  -t, --test           Test vulnerability first

Danksagungen

Schwachstelle entdeckt von Egidio Romano.

Referenzen

• Karma In Security Advisory: https://karmainsecurity.com/KIS-2025-04
• SugarCRM Security Advisory: https://support.sugarcrm.com/resources/security/sugarcrm-sa-2024-059/
• Offizielle SugarCRM-Website: https://www.sugarcrm.com
• CVE-Eintrag: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-58258

Haftungsausschluss

Dieses Projekt dient ausschließlich Bildungs- und Forschungszwecken.
Verwenden Sie diesen Proof-of-Concept nicht auf Systemen ohne ausdrückliche Genehmigung. Unbefugtes Testen ist illegal und unethisch.