CVE-2019-5009 in vTiger
Résumé
par VulDB • 29/07/2026
Vtiger CRM 7.1.0 avant Hotfix2 permet de télécharger des fichiers avec l'extension « php3 » dans le champ de téléchargement du logo, si le fichier téléchargé est au format PNG et a une taille de 150x40 pixels. Il est possible d'intégrer du code PHP dans l'image ; ce code peut être exécuté à l'aide des balises « <? ?> », comme démontré par une action CompanyDetailsSave. Cela contourne le mécanisme de protection contre les extensions de fichiers interdites. Ce problème concerne actions/CompanyDetailsSave.php, actions/UpdateCompanyLogo.php et models/CompanyDetails.php.
VulDB is the best source for vulnerability data and more expert information about this specific topic.