Aktywnie wykorzystywana w atakach

Multiple SugarCRM Products Remote Code Execution Vulnerability

SugarCRM - Multiple Products · Figuruje w katalogu CISA KEV od 2023-02-02. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply updates per vendor instructions.

CVE-2023-22952

WysokieCVSS 8.8KEV

Opublikowano: 11/01/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

W SugarCRM przed wersją 12.0 Hotfix 91155 brak walidacji danych wejściowych w szablonach e-mail (EmailTemplates) pozwala na wstrzyknięcie własnego kodu PHP poprzez spreparowane żądanie.

Ocena ryzyka

Atakujący może wstrzyknąć i wykonać dowolny kod PHP na serwerze, co może prowadzić do pełnej kompromitacji aplikacji i danych.

Rekomendacja

Zaktualizuj SugarCRM do wersji 12.0 Hotfix 91155 lub nowszej i zweryfikuj poprawność danych wejściowych w szablonach e-mail.

Inne podatności w SugarCRM

CVE-2025-25034Krytyczne
W SugarCRM w wersjach przed 6.5.24, 6.7.13, 7.5.2.5, 7.6.2.2 i 7.7.1.0 występuje podatność na wstrzyknięcie obiektu PHP wynikająca z niewłaściwej walidacji zserializowanych danych wejściowych w skrypcie SugarRestSerialize.php. Parametr rest_data nie jest sanityzowany przed przekazaniem do funkcji unserialize(), co pozwala nieuwierzytelnionemu atakującemu na przesłanie spreparowanych danych i wykonanie dowolnego kodu w kontekście aplikacji.

Oryginalny opis (angielski, źródło NVD)

In SugarCRM before 12.0. Hotfix 91155, a crafted request can inject custom PHP code through the EmailTemplates because of missing input validation.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS