CVE:CVE-2010-3910
CNNVD:CNNVD-201011-247
vtiger CRM 是基于web的开源客户关系管理系统。
vtiger CRM 5.2.1之前版本中的include/utils/utils.php文件中的return_application_language函数中存在多个目录遍历漏洞。远程攻击者可以借助(1)phprint.php文件中的lang_crm参数或者(2)对graph.php文件的Accounts Import操作中current_language参数中的".."操作符包含并执行任意本地文件。
solution:Upgrade vtiger vtiger_crm to a higher version than 5.2.0,1.0,2.0,2.0.1,2.1,3,3.0,3.0:beta,3.2,4,4:beta,4:rc1,4.0,4.0.1,4.2,4.2.4,5.0.0,5.0.2,5.0.3,5.0.4,5.0.4:rc,5.1.0,5.1.0:rc,and avoid the version (,5.2.0],1.0,2.0,2.0.1,2.1,3,3.0,3.0:beta,3.2,4,4:beta,4:rc1,4.0,4.0.1,4.2,4.2.4,5.0.0,5.0.2,5.0.3,5.0.4,5.0.4:rc,5.1.0,5.1.0:rc