製品・ソフトウェアに関する情報
Vulnerability Search
vtiger CRM の Compose Mail 機能における任意のコードを実行される脆弱性
Title vtiger CRM の Compose Mail 機能における任意のコードを実行される脆弱性
Summary

vtiger CRM の Compose Mail 機能の saveForwardAttachments 手順には、任意のコードを実行される脆弱性が存在します。

Possible impacts リモート認証されたユーザにより、添付ファイル名の末尾に以下が含まれている電子メールメッセージを作成され、storage/ 配下の特定のパス名への直接リクエストをされることで、任意のコードを実行される可能性があります。 (1) 特定の Apache HTTP Server 設定環境上の .php (2) Windows 上の .php (3) Linux 上の .php/
Solution

ベンダ情報および参考情報を参照して適切な対策を実施してください。
Publication Date Sept. 18, 2009, midnight
Registration Date Dec. 20, 2012, 7:28 p.m.
Last Update Dec. 20, 2012, 7:28 p.m.
CVSS2.0 : 危険
Score 9
Vector AV:N/AC:L/Au:S/C:C/I:C/A:C
Affected System
Vtiger
Vtiger CRM 5.0.4
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
No Changed Details Date of change
0 [2012年12月20日]
  掲載		 Feb. 17, 2018, 10:37 a.m.
NVD Vulnerability Information
CVE-2009-3250
Summary

The saveForwardAttachments procedure in the Compose Mail functionality in vtiger CRM 5.0.4 allows remote authenticated users to execute arbitrary code by composing an e-mail message with an attachment filename ending in (1) .php in installations based on certain Apache HTTP Server configurations, (2) .php. on Windows, or (3) .php/ on Linux, and then making a direct request to a certain pathname under storage/.

Summary

El procedimiento "saveForwardAttachments" de la funcionalidad "Crear correo" de vtiger CRM v5.0.4 permite a usuarios remotos autenticados ejecutar código de su elección creando un mensaje de correo electrónico con un fichero adjunto cuyo nombre acabe en (1) .php en entornos basados en configuraciones determinadas del servidor HTTP Apache, (2) .php. en Windows, o (3) .php/ en Linux; y, a continuación, realizando una petición directa a una ruta de directorio bajostorage/.

Publication Date Sept. 19, 2009, 5:30 a.m.
Registration Date Jan. 29, 2021, 1:23 p.m.
Last Update April 23, 2026, 9:35 a.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:vtiger:vtiger_crm:5.0.4:*:*:*:*:*:*:*
Related information, measures and tools
Common Vulnerabilities List