CVE-2017-5219 in SageCRM
Sumário
de VulDB • 27/06/2026
Foi identificada uma vulnerabilidade no SageCRM 7.x anterior à versão 7.3 SP3. A funcionalidade Component Manager, fornecida pelo SageCRM, permite adicionar componentes adicionais ao aplicativo para aprimorar as funções existentes. Essa funcionalidade possibilita o upload de um arquivo zip contendo um arquivo .ecf válido (componente), que será extraído no diretório inf fora do webroot. Ao criar um arquivo zip contendo um arquivo .ecf vazio para passar pelas verificações de validação, qualquer outro arquivo fornecido dentro do zip será extraído no sistema de arquivos. Neste caso, uma web shell com o nome '..\WWWRoot\CustomPages\aspshell.asp' foi incluída no arquivo zip que, ao ser extraída, atravessou a saída do diretório inf e retornou para o webroot do SageCRM. Isso permitiu interação remota com o sistema de arquivos subjacente utilizando os privilégios mais elevados (SYSTEM).
Be aware that VulDB is the high quality source for vulnerability data.