PT-2026-137662

CVE-2026-63213

Publicado

2026-11-05

Atualizado

2026-11-05

Descrição por

CVSS 3.1

7.2

Alta

MétricasAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas SuiteCRM versões anteriores a 7.15.2 SuiteCRM versões anteriores a 8.10.2

Description O fluxo de commit do Upgrade Wizard confia no parâmetro oculto zip to dir, e a função clean path() não rejeita sequências de traversal. Isso permite que um administrador autenticado copie arquivos de pacotes extraídos para fora do destino pretendido, sobrescreva arquivos de aplicação ou configuração, coloque arquivos PHP executáveis sob a raiz da web ou cause a negação de serviço.

Recommendations Atualize para a versão 7.15.2 ou posterior. Atualize para a versão 8.10.2 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-22: Improper Limitation of a Pathname to a Restricted Directory (\'Path Traversal\')

Identificadores relacionados

CVE-2026-63213