CVE-2026-33656
EspoCRM vulnerabile a RCE autenticata tramite Formula con path traversal in sourceId dell'allegato, sfruttabile dall'utente admin
- Pubblicato
- 22 apr 2026
- Aggiornato
- 23 apr 2026
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 25 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 47,3%
- Data del modello
- 11 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
EspoCRM è un'applicazione open source per la gestione delle relazioni con i clienti. Prima della versione 9.3.4, il motore di scripting delle formule integrato di EspoCRM consentiva di aggiornare il campo `sourceId` degli allegati, permettendo così a un amministratore autenticato di sovrascrivere il campo `sourceId` sulle entità `Attachment`. Poiché `sourceId` viene concatenato direttamente in un percorso di file senza alcuna sanificazione in `EspoUploadDir::getFilePath()`, un attaccante può reindirizzare qualsiasi operazione di lettura o scrittura di file verso un percorso arbitrario nell'ambito di `open_basedir` del server web. La versione 9.3.4 corregge il problema.
Fonti
Autenticato exploit RCE per EspoCRM <= 9.3.3 (CVE-2026-33656) tramite bypass ACL di Formula, path traversal e avvelenamento di .htaccess per ottenere l'esecuzione di comandi di sistema.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.