CVE-2026-47168
CVE-2026-47168 · EspoCRM: Authenticated RCE via Unsafe PHP Object Deserialization in MassAction/Export params
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
EspoCRM is an open source customer relationship management application. Prior to 9.3.7, an authenticated administrator can supply crafted serialized PHP object data that is stored in background MassAction or Export parameters and later deserialized by the application. The deserialization paths do not restrict allowed classes, allowing attacker-controlled object instantiation and arbitrary code execution on the server. This issue is fixed in version 9.3.7.
CVSS 9.1 · Kritisch · EPSS 0,4%
- Veröffentlicht
- Aktualisiert
Betroffene Produkte und Versionen
espocrm
- Softwareversionen
- < 9.3.7: Betroffen
Keine Korrektur veröffentlicht