PT-2022-24594 · Espocrm · Espocrm

CVE-2022-38844 · Publicado 2022-09-16 · Atualizado 2024-03-06

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

EsppoCRM versão 7.1.8

Descrição

A vulnerabilidade permite que usuários remotos autenticados executem comandos do sistema por meio da criação de contatos com cargas úteis capazes de executar tais comandos. Um usuário administrador que exporte contatos para um arquivo CSV pode acabar executando os comandos maliciosos em seu sistema.

Recomendações

Para o EspoCRM versão 7.1.8, atualize para uma versão que inclua uma correção para este problema, pois o uso da versão atual pode permitir a execução de comandos maliciosos do sistema. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

Enumeração de Fraquezas

CWE-1236

Identificadores relacionados

BIT-ESPOCRM-2022-38844

CVE-2022-38844

Produtos afetados

Espocrm

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/38xxx/CVE-2022-38844.json · Exploit
• 🔥 https://medium.com/cybersecurity-valuelabs/espocrm-7-1-8-is-vulnerable-to-csv-injection-4c07494e2a76 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2022-38844 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-38844 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-espocrm-2022-38844 · Aviso do Fabricante
• https://t.me/cvenotify/36333 · Publicação no Telegram
• https://t.me/cibsecurity/49917 · Publicação no Telegram