CVE-2009-3249
Множественные уязвимости обхода каталога в vtiger CRM 5.0.4 позволяют удалённым злоумышленникам включать и выполнять произвольные локальные файлы через .....
- Опубликовано
- 18 сент. 2009 г.
- Обновлено
- 7 авг. 2024 г.
- Назначение CNA
- mitre
- Наблюдены доказательства
- 18 авг. 2009 г.
Первичный CVSS
nvd · CVSS 2.0
AV:N/AC:L/Au:N/C:P/I:P/A:PНизкий · следующие 30 дней
- Процентиль
- 95,4 %
- Дата модели
- 13 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Множественные уязвимости обхода каталога в vtiger CRM 5.0.4 позволяют удалённым злоумышленникам включать и выполнять произвольные локальные файлы через .. (две точки) в (1) параметре module для graph.php; или в (2) параметре module или (3) параметре file для include/Ajax/CommonAjax.php, доступного через modules/Campaigns/CampaignsAjax.php, modules/SalesOrder/SalesOrderAjax.php, modules/System/SystemAjax.php, modules/Products/ProductsAjax.php, modules/uploads/uploadsAjax.php, modules/Dashboard/DashboardAjax.php, modules/Potentials/PotentialsAjax.php, modules/Notes/NotesAjax.php, modules/Faq/FaqAjax.php, modules/Quotes/QuotesAjax.php, modules/Utilities/UtilitiesAjax.php, modules/Calendar/ActivityAjax.php, modules/Calendar/CalendarAjax.php, modules/PurchaseOrder/PurchaseOrderAjax.php, modules/HelpDesk/HelpDeskAjax.php, modules/Invoice/InvoiceAjax.php, modules/Accounts/AccountsAjax.php, modules/Reports/ReportsAjax.php, modules/Contacts/ContactsAjax.php и modules/Portal/PortalAjax.php; а также позволяют удалённым аутентифицированным пользователям включать и выполнять произвольные локальные файлы через .. (две точки) в параметре step при действии Import для модулей (4) Accounts, (5) Contacts, (6) HelpDesk, (7) Leads, (8) Potentials, (9) Products или (10) Vendors, доступных через index.php и связанных с modules/Import/index.php и несколькими файлами Import.php.
Источники
USH · php · 18 авг. 2009 г.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.