Heimdall Security Logo

CVE-2025-25034

Vulnérabilité critique dans SugarCRM (SugarCRM)

CVSS 9.3 · Critique
EPSS 5.0%
SugarCRM•SugarCRM•Versions : 6.7.0, <7.5.2.4, <6.7.12, 7.6.0, <7.6.2.1, 7.5.0, <6.5.23, 6.5.0

Description

A PHP object injection vulnerability exists in SugarCRM versions prior to 6.5.24, 6.7.13, 7.5.2.5, 7.6.2.2, and 7.7.1.0 due to improper validation of PHP serialized input in the SugarRestSerialize.php script. The vulnerable code fails to sanitize the rest_data parameter before passing it to the unserialize() function. This allows an unauthenticated attacker to submit crafted serialized data containing malicious object declarations, resulting in arbitrary code execution within the application context. Although SugarCRM released a prior fix in advisory sugarcrm-sa-2016-001, the patch was incomplete and failed to address some vectors. Exploitation evidence was observed by the Shadowserver Foundation on 2024-09-13 UTC.

Gravité et risque d'exploitation

CVE-2025-25034 obtient un score CVSS de 9.3/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 4.96 %, ce qui la place devant 92.1 % des CVE référencées.

Que faire ?

  • Vérifiez si SugarCRM (versions 6.7.0, <7.5.2.4, <6.7.12, 7.6.0, <7.6.2.1, 7.5.0, <6.5.23, 6.5.0) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE