CVSS: 8.8EPSS: 0%CPEs: 2EXPL: 0CVE-2021-41597
https://notcve.org/view.php?id=CVE-2021-41597
SuiteCRM through 7.11.21 is vulnerable to CSRF, with resultant remote code execution, via the UpgradeWizard functionality, if a PHP file is included in a ZIP archive. SuiteCRM versiones hasta 7.11.21, es vulnerable a un ataque de tipo CSRF, con ejecución de código remota resultante, por medio de la funcionalidad UpgradeWizard, si es incluido un archivo PHP en un archivo ZIP • https://docs.suitecrm.com/admin/releases https://docs.suitecrm.com/admin/releases/7.10.x/#_7_10_35 https://github.com/ach-ing/cves/blob/main/CVE-2021-41597.md https://github.com/salesagility/SuiteCRM https://suitecrm.com • CWE-352: Cross-Site Request Forgery (CSRF) •
CVSS: 6.1EPSS: 0%CPEs: 2EXPL: 0CVE-2021-45903
https://notcve.org/view.php?id=CVE-2021-45903
A persistent cross-site scripting (XSS) issue in the web interface of SuiteCRM before 7.10.35, and 7.11.x and 7.12.x before 7.12.2, allows a remote attacker to introduce arbitrary JavaScript via attachments upload, a different vulnerability than CVE-2021-39267 and CVE-2021-39268. Un problema persistente de tipo cross-site scripting (XSS en la interfaz web de SuiteCRM versiones anteriores a 7.10.35, y en versiones 7.11.x y 7.12.x anteriores a 7.12.2, permite a un atacante remoto introducir JavaScript arbitrario por medio de la carga de archivos adjuntos, una vulnerabilidad diferente a la de CVE-2021-39267 y CVE-2021-39268 • https://docs.suitecrm.com/admin/releases/7.10.x/#_7_10_35 https://docs.suitecrm.com/admin/releases/7.12.x/#_7_12_2 https://github.com/ach-ing/cves/blob/main/CVE-2021-45903.md • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 8.8EPSS: 0%CPEs: 6EXPL: 1CVE-2021-45041
https://notcve.org/view.php?id=CVE-2021-45041
SuiteCRM before 7.12.2 and 8.x before 8.0.1 allows authenticated SQL injection via the Tooltips action in the Project module, involving resource_id and start_date. SuiteCRM antes de la versión 7.12.2 y 8.x antes de la versión 8.0.1 permiten la inyección SQL autentificada a través de la acción Tooltips en el módulo Project, involucrando resource_id y start_date • https://github.com/manuelz120/CVE-2021-45041 https://docs.suitecrm.com/8.x/admin/releases/8.0 https://docs.suitecrm.com/admin/releases/7.12.x • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 9.0EPSS: 10%CPEs: 1EXPL: 3CVE-2021-42840 – SuiteCRM 7.11.18 - Remote Code Execution (RCE) (Authenticated)
https://notcve.org/view.php?id=CVE-2021-42840
SuiteCRM before 7.11.19 allows remote code execution via the system settings Log File Name setting. In certain circumstances involving admin account takeover, logger_file_name can refer to an attacker-controlled PHP file under the web root, because only the all-lowercase PHP file extensions were blocked. NOTE: this issue exists because of an incomplete fix for CVE-2020-28328. SuiteCRM versiones anteriores a 7.11.19, permite una ejecución de código remota por medio de la configuración del sistema Log File Name. En determinadas circunstancias que implican la toma de posesión de la cuenta de administrador, logger_file_name puede referirse a un archivo PHP controlado por el atacante bajo el root de la web, porque sólo las extensiones de archivos PHP en minúsculas fueron bloqueadas. • https://www.exploit-db.com/exploits/50531 http://packetstormsecurity.com/files/165001/SuiteCRM-7.11.18-Remote-Code-Execution.html https://docs.suitecrm.com/admin/releases/7.11.x/#_7_11_19 https://github.com/rapid7/metasploit-framework/commits/master/modules/exploits/linux/http/suitecrm_log_file_rce.rb https://suitecrm.com/time-to-upgrade-suitecrm-7-11-19-7-10-30-lts-released https://theyhack.me/SuiteCRM-RCE-2 https://theyhack.me/CVE-2020-28320-SuiteCRM-RCE • CWE-434: Unrestricted Upload of File with Dangerous Type •
CVSS: 5.3EPSS: 0%CPEs: 2EXPL: 0CVE-2021-41596
https://notcve.org/view.php?id=CVE-2021-41596
SuiteCRM before 7.10.33 and 7.11.22 allows information disclosure via Directory Traversal. An attacker can partially include arbitrary files via the importFile parameter of the RefreshMapping import functionality. SuiteCRM versiones anteriores a 7.10.33 y 7.11.22 permite una divulgación de información por medio de Salto de Directorio. Un atacante puede incluir parcialmente archivos arbitrarios por medio del parámetro importFile de la funcionalidad RefreshMapping import • https://docs.suitecrm.com/admin/releases/7.10.x/#_7_10_33 https://docs.suitecrm.com/admin/releases/7.11.x/#_7_11_22 https://github.com/ach-ing/cves/blob/main/CVE-2021-41596.md https://github.com/salesagility/SuiteCRM https://suitecrm.com • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') •