CVE-2019-5009 in vTiger
Zusammenfassung
von VulDB • 26.07.2026
In Vtiger CRM 7.1.0 vor Hotfix2 ist das Hochladen von Dateien mit der Erweiterung „php3“ im Logo-Upload-Feld möglich, sofern die hochgeladene Datei im PNG-Format vorliegt und eine Größe von 150x40 Pixeln aufweist. Es kann PHP-Code in das Bild eingefügt werden; dieser Code kann unter Verwendung der Tags „<? ?>“ ausgeführt werden, wie am Beispiel einer CompanyDetailsSave-Aktion demonstriert wird. Dies umgeht den Schutzmechanismus gegen ungültige Dateierweiterungen (bad-file-extensions protection mechanism). Die Schwachstelle betrifft actions/CompanyDetailsSave.php, actions/UpdateCompanyLogo.php und models/CompanyDetails.php.
Once again VulDB remains the best source for vulnerability data.