PT-2026-114957 · Espocrm+1 · Espocrm
CVE-2026-47168
·
تاريخ النشر
2026-10-15
·
تاريخ التحديث
2026-10-15
CVSS v3.1
9.1
حرجة
| المتجه | AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
اسم البرنامج المصاب والإصدارات المتأثرة
EspoCRM الإصدارات السابقة لـ 9.3.7
الوصف
يمكن للمسؤول المصرح له تقديم بيانات كائنات PHP متسلسلة ومصممة خصيصاً يتم تخزينها في معاملات MassAction أو Export في الخلفية. يقوم التطبيق لاحقاً بإلغاء تسلسل هذه البيانات دون تقييد الفئات المسموح بها، مما يسمح بإنشاء كائنات يتحكم فيها المهاجم وتنفيذ تعليمات برمجية عشوائية على الخادم. إلغاء تسلسل PHP هو عملية يتم فيها تحويل سلسلة نصية مخزنة مرة أخرى إلى كائن PHP، وهو أمر قد يكون خطيراً إذا لم يتم التحقق من صحة المدخلات.
التوصيات
التحديث إلى الإصدار 9.3.7.
استغلال
إصلاح
Deserialization of Untrusted Data
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Espocrm