CVE-2009-3249 in vtiger
摘要
由 VulDB • 2026-06-29
vtiger CRM 5.0.4 中存在多个目录遍历漏洞，远程攻击者可以通过在以下位置使用 `..`（点号加点号）包含并执行任意本地文件：(1) graph.php 的 module 参数；或 (2) include/Ajax/CommonAjax.php 的 module 参数、以及 (3) file 参数。这些接口可通过 modules/Campaigns/CampaignsAjax.php、modules/SalesOrder/SalesOrderAjax.php、modules/System/SystemAjax.php、modules/Products/ProductsAjax.php、modules/uploads/uploadsAjax.php、modules/Dashboard/DashboardAjax.php、modules/Potentials/PotentialsAjax.php、modules/Notes/NotesAjax.php、modules/Faq/FaqAjax.php、modules/Quotes/QuotesAjax.php、modules/Utilities/UtilitiesAjax.php、modules/Calendar/ActivityAjax.php、modules/Calendar/CalendarAjax.php、modules/PurchaseOrder/PurchaseOrderAjax.php、modules/HelpDesk/HelpDeskAjax.php、modules/Invoice/InvoiceAjax.php、modules/Accounts/AccountsAjax.php、modules/Reports/ReportsAjax.php、modules/Contacts/ContactsAjax.php 和 modules/Portal/PortalAjax.php 访问。此外，经过身份验证的远程用户还可以通过向 (4) Accounts、(5) Contacts、(6) HelpDesk、(7) Leads、(8) Potentials、(9) Products 或 (10) Vendors 模块执行 Import 操作时，在 step 参数中使用 `..`（点号加点号）来包含并执行任意本地文件。该漏洞可通过 index.php 访问，并与 modules/Import/index.php 及多个 Import.php 文件相关。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.