CVE-2025-25034
Açıklama
SugarCRM'in 6.5.24, 6.7.13, 7.5.2.5, 7.6.2.2 ve 7.7.1.0 öncesi sürümlerinde, SugarRestSerialize.php betiğindeki PHP serileştirilmiş girdilerin uygun şekilde doğrulanmaması nedeniyle bir PHP nesne enjeksiyonu zafiyeti bulunmaktadır. Zafiyetli kod, rest_data parametresini unserialize() fonksiyonuna aktarmadan önce temizlememektedir. Bu durum, kimliği doğrulanmamış bir saldırganın kötü amaçlı nesne bildirimleri içeren özel olarak hazırlanmış serileştirilmiş veriler göndermesine ve uygulama bağlamında rastgele kod çalıştırılmasına olanak tanır. SugarCRM, sugarcrm-sa-2016-001 duyurusuyla daha önce bir düzeltme yayınlamış olsa da yama eksiktir ve bazı vektörleri gidermemiştir. İstismar kanıtları, Shadowserver Foundation tarafından 2024-09-13 UTC tarihinde gözlemlenmiştir.
Nasıl düzeltilir
- SugarCRM SugarCRM6.5.24, 6.7.13, 7.5.2.5, 7.6.2.2, 7.7.1.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| SugarCRM SugarCRM | 6.5.0 ≤ v < 6.5.24, 6.7.0 ≤ v < 6.7.13, 7.5.0 ≤ v < 7.5.2.5, 7.6.0 ≤ v < 7.6.2.2, 7.7.0 ≤ v < 7.7.1.0 | 6.5.24, 6.7.13, 7.5.2.5, 7.6.2.2, 7.7.1.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.