CVE-2025-25034
Təsvir
SugarCRM-in 6.5.24, 6.7.13, 7.5.2.5, 7.6.2.2 və 7.7.1.0 versiyalarından əvvəlki versiyalarında, SugarRestSerialize.php skriptində PHP seriyalaşdırılmış girişinin düzgün yoxlanılmaması səbəbindən PHP obyekt inyeksiyası zəifliyi mövcuddur. Zəiflikli kod, rest_data parametrini unserialize() funksiyasına ötürməzdən əvvəl təmizləmir. Bu, autentifikasiya olunmamış hücumçuya zərərli obyekt deklarasiyaları ehtiva edən xüsusi hazırlanmış seriyalaşdırılmış məlumatları göndərməyə imkan verir ki, bu da tətbiq kontekstində ixtiyari kodun icrasına gətirib çıxarır. SugarCRM daha əvvəl sugarcrm-sa-2016-001 məsləhətində düzəliş paylaşsa da, yamaq natamam idi və bəzi vektorları aradan qaldırmadı. Eksploytasiya sübutları Shadowserver Foundation tərəfindən 2024-09-13 UTC tarixində müşahidə edilmişdir.
Necə düzəltmək olar
- SugarCRM SugarCRM6.5.24, 6.7.13, 7.5.2.5, 7.6.2.2, 7.7.1.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| SugarCRM SugarCRM | 6.5.0 ≤ v < 6.5.24, 6.7.0 ≤ v < 6.7.13, 7.5.0 ≤ v < 7.5.2.5, 7.6.0 ≤ v < 7.6.2.2, 7.7.0 ≤ v < 7.7.1.0 | 6.5.24, 6.7.13, 7.5.2.5, 7.6.2.2, 7.7.1.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.