PT-2026-57404 · Zoho · Catalyst Connect Zoho Crm Client Portal

Siyuan Shao · Publicado 2026-07-11 · Atualizado 2026-07-11 · CVE-2025-5017

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Catalyst Connect Zoho CRM Client Portal versões anteriores a 2.2.1

Descrição A escape insuficiente de parâmetros fornecidos pelo usuário e a falta de preparação em consultas SQL permitem que atacantes autenticados com nível de acesso de Administrador ou superior realizem SQL Injection baseada em tempo. Isso ocorre por meio do parâmetro uid, permitindo a execução de consultas SQL adicionais para extrair informações sensíveis do banco de dados.

Recomendações Atualize o Catalyst Connect Zoho CRM Client Portal para a versão 2.2.1 ou posterior. Como mitigação temporária, restrinja o acesso ao parâmetro uid até que a atualização seja aplicada.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-5017

Produtos afetados

Catalyst Connect Zoho Crm Client Portal

Referências · 6

• https://twitter.com/infoflowcloud/status/2075871657751666987 · Publicação no Twitter
• https://github.com/BFS-Lab/BFSDV/blob/main/client%20portal%20SQL%20injection-1.md · Nota
• https://wordpress.org/plugins/catalyst-connect-client-portal · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-5017 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/37ce28de-f41d-42f8-8467-0af5e643a739?source=cve · Nota
• https://twitter.com/CVEnew/status/2075869779320078455 · Publicação no Twitter