发布日期：2013-08-01
更新日期：2013-08-04
受影响系统：
vtiger vtiger CRM 5.3
vtiger vtiger CRM 5.2.1
vtiger vtiger CRM 5.2
vtiger vtiger CRM 5.1
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 61558
CVE(CAN) ID: CVE-2013-3214
vtiger CRM是免费的开源客户关系管理软件。
vtiger CRM 5.4.0中，/soap/vtigerolservice.php内的AddEmailAttachment SOAP方法没有正确验证 "filedata"、"filename"参数传递的输入，该参数用于在storage directory内写"email attachment"。这可被利用编写任何内容的文件，造成执行任意PHP代码。
<*来源：Egidio Romano
链接：
*>
建议：
--------------------------------------------------------------------------------
厂商补丁：
vtiger
------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：