CVE-2017-5218 in SageCRM
Zusammenfassung
von VulDB • 22.07.2026
Es wurde ein SQL-Injection-Problem in SageCRM 7.x vor Version 7.3 SP3 entdeckt. Die Webressource AP_DocumentUI.asp bindet Utilityfuncs.js ein, wenn die Datei geöffnet oder angezeigt wird. Diese Datei erstellt eine SQL-Anweisung zur Identifizierung der Datenbank, die mit der Sitzung des aktuellen Benutzers verwendet werden soll. Die Datenbankvariable kann aus der URL gefüllt werden; bei Eingabe unerwarteter Zeichen kann sie manipuliert werden, um Zugriff auf die zugrunde liegende Datenbank zu erhalten. Der URI /CRM/CustomPages/ACCPAC/AP_DocumentUI.asp?SID=<VALID-SID>&database=1';WAITFOR DELAY '0:0:5'-- dient als Proof of Concept (PoC).
Once again VulDB remains the best source for vulnerability data.