PT-2025-26454
CVE-2025-25034
·
تاريخ النشر
2025-06-20
·
تاريخ التحديث
2025-11-20
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة:
إصدارات SugarCRM الأقدم من 6.5.24
إصدارات SugarCRM الأقدم من 6.7.13
إصدارات SugarCRM الأقدم من 7.5.2.5
إصدارات SugarCRM الأقدم من 7.6.2.2
إصدارات SugarCRM الأقدم من 7.7.1.0
الوصف:
توجد مشكلة تتعلق بحقن كائنات PHP بسبب التحقق غير الكافي من صحة المدخلات المسلسلة في PHP في البرنامج النصي SugarRestSerialize.php. يفشل الكود المعرض للخطر في تنقية المعلمة
rest data قبل تمريرها إلى الدالة unserialize(). وهذا يسمح لمهاجم غير معتمد بإرسال بيانات متسلسلة تم التلاعب بها تحتوي على تعريفات كائنات ضارة، مما يؤدي إلى تنفيذ تعليمات برمجية تعسفية ضمن سياق التطبيق. كان التصحيح السابق غير مكتمل وفشل في معالجة بعض نقاط الضعف.التوصيات:
بالنسبة للإصدارات الأقدم من 6.5.24، قم بالتحديث إلى الإصدار 6.5.24 أو أحدث.
بالنسبة للإصدارات الأقدم من 6.7.13، قم بالتحديث إلى الإصدار 6.7.13 أو أحدث.
بالنسبة للإصدارات الأقدم من 7.5.2.5، قم بالتحديث إلى الإصدار 7.5.2.5 أو أحدث.
بالنسبة للإصدارات الأقدم من 7.6.2.2، قم بالتحديث إلى الإصدار 7.6.2.2 أو أحدث.
بالنسبة للإصدارات الأقدم من 7.7.1.0، قم بالتحديث إلى الإصدار 7.7.1.0 أو أحدث.
كحل مؤقت، ضع في اعتبارك تعطيل وظيفة
unserialize() للمعلمة rest data في البرنامج النصي SugarRestSerialize.php حتى يتوفر تصحيح.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾