CVE‑2024‑58258 – SugarCRM SSRF y Divulgación de Archivos Locales

Acerca de

Este repositorio proporciona una prueba de concepto para CVE‑2024‑58258, una vulnerabilidad de SugarCRM (<13.0.4 / <14.0.1) en la que la entrada del usuario se interpreta como LESS en la API /css/preview, permitiendo SSRF no autenticado o acceso a archivos locales.

Versiones Afectadas

• Todas las ediciones comerciales anteriores a 13.0.4
• Todas las ediciones comerciales anteriores a 14.0.1

Descripción

SugarCRM no sanitiza correctamente los parámetros GET proporcionados por el usuario en el endpoint REST /css/preview. La entrada se interpreta como código LESS, lo que permite a los atacantes inyectar directivas LESS arbitrarias.
Abusar de @import puede permitir: - SSRF (Server‑Side Request Forgery) - Divulgación de Archivos Locales

Esto puede conducir a la exposición de datos internos o sensibles.

Uso de CLI

usage: main.py [options] target file_or_url

positional arguments:
  target               Target SugarCRM URL
  file_or_url          File path or URL to access

optional arguments:
  -p, --proxy PROXY    Proxy server
  -v, --verbose        Verbose output
  -t, --test           Test vulnerability first

Créditos

Vulnerabilidad descubierta por Egidio Romano.

Referencias

• Aviso de Karma In Security: https://karmainsecurity.com/KIS-2025-04
• Aviso de Seguridad de SugarCRM: https://support.sugarcrm.com/resources/security/sugarcrm-sa-2024-059/
• Sitio web oficial de SugarCRM: https://www.sugarcrm.com
• Entrada CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-58258

Descargo de Responsabilidad

Este proyecto es solo para fines educativos y de investigación.
No utilice esta prueba de concepto en sistemas sin permiso explícito. Las pruebas no autorizadas son ilegales y poco éticas.