Multiple SugarCRM Products Remote Code Execution Vulnerability

In SugarCRM before 12.0. Hotfix 91155, a crafted request can inject custom PHP code through the EmailTemplates because of missing input validation.

CheckOps-Prioritätsindex

7,7/10 Binnen 7 Tagen patchen

Schweregrad8,8

Wahrscheinlichkeit8,0

Ausnutzung3/5

Schweregrad = CVSS. Wahrscheinlichkeit = EPSS (FIRST). Ausnutzung = öffentliche Signale: KEV, EUVD, Ransomware, EPSS über 10 %, ohne Konto.

EPSS · heute 80,1 % höher als 99,6 % aller CVE

CVSS 3.1 8,8 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:

Ausgenutzt seit 1.371 Tagen 02.02.2023

CISA-Frist 23.02.2023 für US-Bundesbehörden

Ausnutzungswahrscheinlichkeit EPSS · FIRST

EPSS-Wahrscheinlichkeit (%)Perzentil unter allen CVE

Ausnutzungssignale 3 / 5

KEV-Katalog (CISA)02.02.2023
In der EUVD ausgenutzt (ENISA)02.02.2023
Von Ransomware genutztnein
EPSS über 10 %80,1 %
Ohne Konto, über das Netznein

Was tun

Beheben

Den Patch des Herstellers einspielen, sobald er verfügbar ist.

Vorgabe der CISA: Apply updates per vendor instructions.

Bis dahin

Den Dienst vom Internet nehmen oder den Zugriff einschränken, Protokolle überwachen und nach Kompromittierungsspuren suchen.

Hersteller (CRA)

Ausgenutzte Schwachstelle in Ihrem Produkt: Frühwarnung an die ENISA binnen 24 h, dann Meldung binnen 72 h (Artikel 14 des Cyber Resilience Act). Der CRA erklärt

Betroffene Produkte

Multiple Products

Schwächen (CWE)

CWE-20

Open-Source-Pakete OSV

Betroffene Bibliotheken laut OSV, mit behobenen Versionen.

Zeitverlauf

11.01.2023
Veröffentlichung
02.02.2023
Ausnutzung gemeldet (ENISA)
02.02.2023
Aufnahme in den KEV-Katalog
23.02.2023
CISA-Frist zur Behebung
26.09.2026
EPSS-Höchstwert: 80,1 %