CVE-2011-4670

vTiger CRM 5.2.1 ve önceki sürümlerdeki birden fazla siteler arası betik çalıştırma (XSS) zafiyeti, uzaktan saldırganların şunlar aracılığıyla rastgele web betiği veya HTML enjekte etmesine olanak tanır: Calendar modülündeki CalendarAjax eylemindeki (1) viewname parametresi, DetailView eylemindeki (2) activity_mode parametresi, EditView eylemindeki (3) contact_id ve (4) parent_id parametreleri, index eylemindeki (5) day, (6) month, (7) subtab, (8) view ve (9) viewOption parametreleri ile ListView eylemindeki (10) start parametresi; Campaigns modülündeki EditView eyleminde bulunan (11) return_action ve (12) return_module parametreleri ile index eylemindeki (13) query parametresi; com_vtiger_workflow modülündeki editworkflow eyleminde yer alan (14) return_url ve (15) workflow_id parametreleri; Dashboard modülündeki index eyleminde bulunan (16) display_view parametresi; Potentials modülündeki ListView eyleminde yer alan (17) closingdate_end, (18) closingdate_start, (19) date_closed, (20) owner, (21) leadsource, (22) sales_stage ve (23) type parametreleri; Reports modülündeki SaveandRun eyleminde bulunan (24) folderid parametresi; Settings modülündeki createnewgroup eyleminde yer alan (25) returnaction ve (26) groupId parametreleri, createrole eylemindeki (27) mode ve (28) parent parametreleri, ModuleManager eylemindeki (29) src_module, profilePrivileges eylemindeki (30) mode ve (31) profile_id parametreleri ile RoleDetailView'daki (32) roleid parametresi; ayrıca Home modülündeki (33) action parametresi ve phprint.php dosyasındaki (34) module parametresi.