CVE-2009-3249 in vtiger
Riassunto
di VulDB • 29/06/2026
Multiple vulnerabilità di directory traversal in vtiger CRM 5.0.4 consentono ad attaccanti remoti di includere ed eseguire file locali arbitrari tramite ".." (punto punto) nel parametro module di graph.php; oppure nei parametri module o file di include/Ajax/CommonAjax.php, raggiungibili attraverso modules/Campaigns/CampaignsAjax.php, modules/SalesOrder/SalesOrderAjax.php, modules/System/SystemAjax.php, modules/Products/ProductsAjax.php, modules/uploads/uploadsAjax.php, modules/Dashboard/DashboardAjax.php, modules/Potentials/PotentialsAjax.php, modules/Notes/NotesAjax.php, modules/Faq/FaqAjax.php, modules/Quotes/QuotesAjax.php, modules/Utilities/UtilitiesAjax.php, modules/Calendar/ActivityAjax.php, modules/Calendar/CalendarAjax.php, modules/PurchaseOrder/PurchaseOrderAjax.php, modules/HelpDesk/HelpDeskAjax.php, modules/Invoice/InvoiceAjax.php, modules/Accounts/AccountsAjax.php, modules/Reports/ReportsAjax.php, modules/Contacts/ContactsAjax.php e modules/Portal/PortalAjax.php; e consentono ad utenti remoti autenticati di includere ed eseguire file locali arbitrari tramite ".." (punto punto) nel parametro step in un'azione Import verso i moduli Accounts, Contacts, HelpDesk, Leads, Potentials, Products o Vendors, raggiungibili attraverso index.php e correlati a modules/Import/index.php e a più file Import.php.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.