CVE-2023-22952

AltoPubblicato

Vulnerabilità di esecuzione di codice in remoto in più prodotti SugarCRM

Pubblicato: 11 gen 2023
Aggiornato: 21 ott 2025
Assegnazione CNA: mitre
Evidenza osservata: 2 feb 2023

CVSS primario

8,8/ 10Alto

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Stima della probabilità EPSS

80,1%

Alto · prossimi 30 giorni

Percentile: 99,6%
Data del modello: 15 ott 2026

L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.

CISA noto sfruttato

Questo CVE appare nel catalogo CISA delle vulnerabilità sfruttate note.

Riepilogo

Prima di SugarCRM 12.0. Hotfix 91155, una richiesta appositamente predisposta può iniettare codice PHP personalizzato tramite EmailTemplates a causa della mancata validazione degli input.

Fonti

Evidenze dei repository: File: 2 · Repository: 2

1 Modulo1 Modello

SugarCRM unauthenticated Remote Code Execution (RCE)Modulo
modules/exploits/multi/http/sugarcrm_webshell_cve_2023_22952.rb
Metasploit Framework modules
ExploitEvidenza osservata: 26 set 2026Revisione: b22ce1fbae63Strumento correlato
Condizioni dichiarate
- platform: Linux,PHP,Unix($.exploit_multi/http/sugarcrm_webshell_cve_2023_22952.platform)
- verification: check_not_declared($.exploit_multi/http/sugarcrm_webshell_cve_2023_22952.check)
SugarCRM Unauthenticated - Remote Code ExecutionModello
http/cves/2023/CVE-2023-22952.yaml
Nuclei Templates
RilevamentoEvidenza osservata: 26 set 2026Revisione: 98ad1e0e66c3Strumento correlato
Condizioni dichiarate
- network: http($.protocol_keys)
- verification: word($.matchers[*].type)

Utilizzo responsabile

Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.