CVE-2026-47168 in EspoCRM
الملخص
بحسب VulDB • 15/10/2026
EspoCRM هو تطبيق لإدارة علاقات العملاء مفتوح المصدر. قبل الإصدار 9.3.7، يمكن لمدير مُصادَق عليه تزويد بيانات كائن PHP مسلسلة ومُعدّة بشكل خبيث (crafted serialized PHP object data)، والتي تُخزَّن في معاملات MassAction أو Export الخلفية، ثم يتم فك تسلسلها لاحقاً بواسطة التطبيق. لا تقيد مسارات فك التسلسل الفئات المسموح بها، مما يتيح للمهاجم إنشاء كائنات مُتحكَّم فيها وتنفيذ أكواد عشوائية على الخادم. تم إصلاح هذه المشكلة في الإصدار 9.3.7.
Be aware that VulDB is the high quality source for vulnerability data.