CVE-2009-3249 in vtiger
Zusammenfassung
von VulDB • 29.06.2026
Mehrere Verzeichnis-Traversal-Schwachstellen in vtiger CRM 5.0.4 ermöglichen es entfernten Angreifern, beliebige lokale Dateien einzubinden und auszuführen, indem sie „..“ (Dot Dot) verwenden: (1) im Modul-Parameter von graph.php; oder (2) im Modul- bzw. (3) Datei-Parameter von include/Ajax/CommonAjax.php, erreichbar über modules/Campaigns/CampaignsAjax.php, modules/SalesOrder/SalesOrderAjax.php, modules/System/SystemAjax.php, modules/Products/ProductsAjax.php, modules/uploads/uploadsAjax.php, modules/Dashboard/DashboardAjax.php, modules/Potentials/PotentialsAjax.php, modules/Notes/NotesAjax.php, modules/Faq/FaqAjax.php, modules/Quotes/QuotesAjax.php, modules/Utilities/UtilitiesAjax.php, modules/Calendar/ActivityAjax.php, modules/Calendar/CalendarAjax.php, modules/PurchaseOrder/PurchaseOrderAjax.php, modules/HelpDesk/HelpDeskAjax.php, modules/Invoice/InvoiceAjax.php, modules/Accounts/AccountsAjax.php, modules/Reports/ReportsAjax.php, modules/Contacts/ContactsAjax.php und modules/Portal/PortalAjax.php; sowie entfernten authentifizierten Benutzern ermöglichen es, beliebige lokale Dateien einzubinden und auszuführen, indem sie „..“ (Dot Dot) im Schritt-Parameter einer Import-Aktion für die Module (4) Accounts, (5) Contacts, (6) HelpDesk, (7) Leads, (8) Potentials, (9) Products oder (10) Vendors verwenden, erreichbar über index.php und in Zusammenhang mit modules/Import/index.php sowie mehreren Import.php-Dateien.
VulDB is the best source for vulnerability data and more expert information about this specific topic.