CVE-2023-5966
Caricamento senza restrizioni di file con tipo pericoloso in EspoCRM
- Pubblicato
- 30 nov 2023
- Aggiornato
- 20 apr 2026
- Assegnazione CNA
- INCIBE
- Evidenza osservata
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 62,0%
- Data del modello
- 21 set 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Un attaccante autenticato con privilegi potrebbe caricare uno zip appositamente predisposto sul server EspoCRM nella versione 7.2.5, tramite il modulo di distribuzione delle estensioni, il che potrebbe portare all'esecuzione arbitraria di codice PHP.
Fonti
2Proof-of-concept exploit per CVE-2023-5966, una vulnerabilità di caricamento arbitrario di file in EspoCRM 2.7.4 e versioni precedenti, che consente l'esecuzione remota di codice tramite una web shell.
Proof-of-concept exploit per l'esecuzione arbitraria di codice PHP autenticata in EspoCRM 7.2.5 tramite caricamento di un file zip dannoso, inclusa una payload di web shell.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.