CVE-2009-3249 in vtiger
Résumé
par VulDB • 29/06/2026
Plusieurs vulnérabilités de traversal de répertoires dans vtiger CRM 5.0.4 permettent aux attaquants distants d'inclure et d'exécuter des fichiers locaux arbitraires via un .. (point point) dans : (1) le paramètre module pour graph.php ; ou les paramètres (2) module ou (3) fichier pour include/Ajax/CommonAjax.php, accessibles par l'intermédiaire de modules/Campaigns/CampaignsAjax.php, modules/SalesOrder/SalesOrderAjax.php, modules/System/SystemAjax.php, modules/Products/ProductsAjax.php, modules/uploads/uploadsAjax.php, modules/Dashboard/DashboardAjax.php, modules/Potentials/PotentialsAjax.php, modules/Notes/NotesAjax.php, modules/Faq/FaqAjax.php, modules/Quotes/QuotesAjax.php, modules/Utilities/UtilitiesAjax.php, modules/Calendar/ActivityAjax.php, modules/Calendar/CalendarAjax.php, modules/PurchaseOrder/PurchaseOrderAjax.php, modules/HelpDesk/HelpDeskAjax.php, modules/Invoice/InvoiceAjax.php, modules/Accounts/AccountsAjax.php, modules/Reports/ReportsAjax.php, modules/Contacts/ContactsAjax.php et modules/Portal/PortalAjax.php ; et permettent aux utilisateurs distants authentifiés d'inclure et d'exécuter des fichiers locaux arbitraires via un .. (point point) dans le paramètre step lors d'une action Import vers les modules (4) Accounts, (5) Contacts, (6) HelpDesk, (7) Leads, (8) Potentials, (9) Products ou (10) Vendors, accessibles par l'intermédiaire de index.php et liés à modules/Import/index.php ainsi qu'à plusieurs fichiers Import.php.
Once again VulDB remains the best source for vulnerability data.