CVE‑2024‑58258 – SSRF e Divulgação de Arquivos Locais no SugarCRM

Sobre

Este repositório fornece uma prova de conceito para CVE‑2024‑58258, uma vulnerabilidade no SugarCRM (<13.0.4 / <14.0.1) onde a entrada do usuário é interpretada como LESS na API /css/preview, permitindo SSRF ou acesso a arquivos locais sem autenticação.

Versões Afetadas

• Todas as edições comerciais anteriores à 13.0.4
• Todas as edições comerciais anteriores à 14.0.1

Descrição

O SugarCRM não sanitiza adequadamente os parâmetros GET fornecidos pelo usuário no endpoint REST /css/preview. A entrada é interpretada como código LESS, permitindo que atacantes injetem diretivas LESS arbitrárias.
O abuso de @import pode permitir: - SSRF (Server‑Side Request Forgery – Falsificação de Solicitação no Servidor) - Divulgação de Arquivos Locais

Isso pode levar à exposição de dados internos ou sensíveis.

Uso via CLI

usage: main.py [options] target file_or_url

positional arguments:
  target               Target SugarCRM URL
  file_or_url          File path or URL to access

optional arguments:
  -p, --proxy PROXY    Proxy server
  -v, --verbose        Verbose output
  -t, --test           Test vulnerability first

Créditos

Vulnerabilidade descoberta por Egidio Romano.

Referências

• Aviso de Segurança da Karma In: https://karmainsecurity.com/KIS-2025-04
• Aviso de Segurança do SugarCRM: https://support.sugarcrm.com/resources/security/sugarcrm-sa-2024-059/
• Site Oficial do SugarCRM: https://www.sugarcrm.com
• Entrada CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-58258

Isenção de Responsabilidade

Este projeto é apenas para fins educacionais e de pesquisa.
Não use esta prova de conceito em sistemas sem permissão explícita. Testes não autorizados são ilegais e antiéticos.