CVE-2026-23698

सारांश

Vtiger CRM 8.4.0 तक के संस्करण में एडमिन मॉड्यूल की इम्पोर्ट सुविधा में एक प्रमाणित रिमोट कोड एक्ज़ीक्यूशन भेद्यता मौजूद है, जो एडमिनिस्ट्रेटर-स्तर के हमलावरों को ModuleManager इम्पोर्ट फ़ंक्शन के माध्यम से एक क्राफ्टेड zip आर्काइव सबमिट करके मनमानी PHP फ़ाइलें अपलोड करने की अनुमति देती है, जो manifest.xml डिस्क्रिप्टर से परे फ़ाइल प्रकारों की पुष्टि किए बिना सामग्री को सीधे वेब रूट के अंतर्गत modules/ निर्देशिका में निकालती है। हमलावर modules/ निर्देशिका में एक्ज़ीक्यूटेबल PHP फ़ाइलें रख सकते हैं जो HTTP के माध्यम से सीधे एक्सेस योग्य हो जाती हैं, जिससे Vtiger की प्रमाणीकरण और प्राधिकरण परत पूरी तरह से बायपास हो जाती है, क्योंकि Apache पथ को हल करता है और एप्लिकेशन रूटिंग परत के शामिल होने से पहले PHP इंटरप्रेटर को आमंत्रित करता है, जिसके परिणामस्वरूप मूल सत्र से स्वतंत्र एक स्थायी वेब शेल बनता है।

• VTIGER-CRM-RCE-CVE-2026-23698PoC

  Vtiger CRM 8.3.0, 8.4.0 मॉड्यूल आयात प्रमाणित RCE PoC