CVE-2026-33656
Təsvir
EspoCRM açıq mənbəli müştəri münasibətlərinin idarə edilməsi tətbiqidir. Versiya 9.3.4-dən əvvəl, EspoCRM-in daxili formula skript mühərriki qoşmaların sourceId parametrinin yenilənməsinə imkan verir və beləliklə, autentifikasiya olunmuş administratora Attachment obyektlərində sourceId sahəsini yenidən yazmağa şərait yaradır. sourceId parametri EspoUploadDir::getFilePath() funksiyasında heç bir təmizləmə prosesi olmadan birbaşa fayl yoluna birləşdirildiyi üçün hücumçu hər hansı fayl oxuma və ya yazma əməliyyatını veb serverin open_basedir əhatəsində olan istənilən yola yönləndirə bilər. Versiya 9.3.4 bu problemi aradan qaldırır.
Necə düzəltmək olar
- espocrm espocrm9.3.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| espocrm espocrm | v < 9.3.4 | 9.3.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.