CVE-2009-3249

vtiger CRM 5.0.4 sürümündeki birden fazla dizin gezginliği (directory traversal) zafiyeti, uzaktan saldırganların şunlar aracılığıyla rastgele yerel dosyaları dahil etmesine ve çalıştırmasına olanak tanır: (1) graph.php dosyasındaki module parametresi veya (2) module ya da (3) file parametreleri üzerinden include/Ajax/CommonAjax.php dosyası; bu dosyalara modules/Campaigns/CampaignsAjax.php, modules/SalesOrder/SalesOrderAjax.php, modules/System/SystemAjax.php, modules/Products/ProductsAjax.php, modules/uploads/uploadsAjax.php, modules/Dashboard/DashboardAjax.php, modules/Potentials/PotentialsAjax.php, modules/Notes/NotesAjax.php, modules/Faq/FaqAjax.php, modules/Quotes/QuotesAjax.php, modules/Utilities/UtilitiesAjax.php, modules/Calendar/ActivityAjax.php, modules/Calendar/CalendarAjax.php, modules/PurchaseOrder/PurchaseOrderAjax.php, modules/HelpDesk/HelpDeskAjax.php, modules/Invoice/InvoiceAjax.php, modules/Accounts/AccountsAjax.php, modules/Reports/ReportsAjax.php, modules/Contacts/ContactsAjax.php ve modules/Portal/PortalAjax.php üzerinden erişilebilir. Ayrıca, kimliği doğrulanmış uzaktan kullanıcıların, index.php üzerinden erişilebilen ve modules/Import/index.php ile birden fazla Import.php dosyasıyla ilişkili olan bir İçe Aktarma (Import) eylemindeki step parametresini kullanarak (4) Accounts, (5) Contacts, (6) HelpDesk, (7) Leads, (8) Potentials, (9) Products veya (10) Vendors modüllerinde rastgele yerel dosyaları dahil etmesine ve çalıştırmasına olanak tanır.