Pubblicato il 2026-07-07 · Fonte: NVD NIST
La vulnerabilità CVE-2026-23697 è una vulnerabilità di upload di file autenticati che consente agli utenti con privilegi bassi di eseguire codice arbitrario in Vtiger CRM. Ciò avviene caricando un file .phar contenente codice PHP arbitrario attraverso il modulo Documenti, bypassando la lista di estensioni negate in config.inc.php. Il file caricato viene archiviato con la sua estensione originale .phar nella directory di archiviazione web-accessibile. Inoltre, una configurazione errata del file .htaccess che utilizza la sintassi Apache 2.2 viene ignorata silenziosamente nelle distribuzioni Apache 2.4, consentendo richieste HTTP non autenticate di eseguire direttamente il payload PHP caricato.
Un attaccante può sfruttare questa vulnerabilità per eseguire codice arbitrario sul sistema, potenzialmente portando a un controllo completo del sistema. I sistemi a rischio sono quelli che utilizzano Vtiger CRM prima della versione 8.4.0 e che hanno una configurazione errata del file .htaccess.
Vendor: N/A
Prodotti: N/A
Per mitigare questa vulnerabilità, si consiglia di aggiornare Vtiger CRM alla versione 8.4.0 o successiva. Inoltre, è importante verificare la configurazione del file .htaccess e assicurarsi che sia compatibile con la versione di Apache in uso. Se non è possibile aggiornare immediatamente, si possono adottare misure di workaround come limitare l'accesso al modulo Documenti e monitorare le attività di upload di file.
La vulnerabilità CVE-2026-23697 è una vulnerabilità di upload di file autenticati che consente l'esecuzione di codice arbitrario in Vtiger CRM
I sistemi a rischio sono quelli che utilizzano Vtiger CRM prima della versione 8.4.0 e che hanno una configurazione errata del file .htaccess
Per proteggersi da questa vulnerabilità, si consiglia di aggiornare Vtiger CRM alla versione 8.4.0 o successiva e verificare la configurazione del file .htaccess
Vuoi approfondire la cybersecurity? Scopri il libro "Ethical Hacker per Tutti" oppure prenota una lezione online.