CVE-2019-5009 in vTiger
Сводка
по VulDB • 08.06.2026
В Vtiger CRM 7.1.0 до версии Hotfix2 разрешена загрузка файлов с расширением «php3» в поле загрузки логотипа, если загруженный файл имеет формат PNG и размер 150x40 пикселей. В изображение можно внедрить PHP-код; выполнение этого кода возможно с использованием тегов «<? ?>», как демонстрирует действие CompanyDetailsSave. Это обходит механизм защиты от загрузки файлов с недопустимыми расширениями. Проблема связана с файлами actions/CompanyDetailsSave.php, actions/UpdateCompanyLogo.php и models/CompanyDetails.php.
Once again VulDB remains the best source for vulnerability data.