PT-2026-137662
CVE-2026-63213
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
SuiteCRM الإصدارات السابقة لـ 7.15.2
SuiteCRM الإصدارات السابقة لـ 8.10.2
Description
يعتمد تدفق عملية الالتزام في معالج الترقية (Upgrade Wizard) على المعلمة المخفية
zip to dir ، بينما لا ترفض الدالة clean path() تسلسلات الانتقال (traversal sequences). يتيح ذلك للمسؤول المصرح له نسخ ملفات الحزمة المستخرجة خارج الوجهة المقصودة، أو الكتابة فوق ملفات التطبيق أو التكوين، أو وضع ملفات PHP قابلة للتنفيذ تحت جذر الويب، أو التسبب في حالة رفض الخدمة.Recommendations
التحديث إلى الإصدار 7.15.2 أو أحدث.
التحديث إلى الإصدار 8.10.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾