CVE-2014-5520
Publiée le 2014-10-26 · Dernière modification le 2026-06-17
XRMS CRM (spécifiquement la version 1.99.2) est affecté par une faille dans son extension de formulaire web qui permet à des attaquants d'envoyer des commandes SQL malveillantes via un paramètre d'ID utilisateur spécifique. Un attaquant peut utiliser cela pour lire, modifier ou supprimer des données au sein de la base de données. Cette opération peut être effectuée à distance via le réseau, sans nécessiter de compte ni d'interaction de la part d'un utilisateur légitime.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
SQL injection vulnerability in XRMS CRM, possibly 1.99.2, allows remote attackers to execute arbitrary SQL commands via the user_id parameter to plugins/webform/new-form.php, which is not properly handled by plugins/useradmin/fingeruser.php.