跳到主要内容

高危

SugarCRM多款产品远程代码执行漏洞

2023-01-11 00:00:00 公开 ，2026-02-27 06:30:56 更新

  • 关键漏洞
  • CISA KEV
  • 远程
  • 公开PoC
  • CWE Top 25 (2023)
  • 2024两高一弱互联网漏洞
  • CWE Top 25 (2024)
  • 2025两高一弱漏洞
CWEs：
CWE-20 （Improper Input Validation） 、 CWE-94 （Code Injection）
SSVC：
可利用状态：已被积极利用攻击自动化：否技术影响评估：全部 2025-01-29 23:22:24

风险信息

CVSS v3 向量
AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS v3 风险值
8.8
CVSS v3.1 向量
AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS v3.1 风险值
8.8

详细信息

漏洞类型
其他
漏洞描述
SugarCRM是美国SugarCRM公司的一套开源的客户关系管理系统（CRM）。该系统支持对不同的客户需求进行差异化营销、管理和分配销售线索，实现销售代表的信息共享和追踪。SugarCRM 11.0（Professional,Enterprise,Ultimate,Sell,Serve）、SugarCRM 12.0（Enterprise,Sell,Serve）EmailTemplates中发现了远程代码执行漏洞。由于缺少输入验证，使用特制的请求，可以通过EmailTemplates注入自定义PHP代码。任何用户权限都可以利用此漏洞。
修复建议
SugarCRM 11.0.5、SugarCRM 12.0.2已经修复此漏洞。有关修补程序、升级或建议的解决方法信息，请参阅sugarcrm-sa-2023-001： https://support.sugarcrm.com/Resources/Security/sugarcrm-sa-2023-001/

参考链接