CVE:CVE-2010-3909
CNNVD:CNNVD-201011-248
vtiger CRM 是基于web的开源客户关系管理系统。
vtiger CRM 5.2.1之前版本中的config.template.php文件中存在不完整黑名单漏洞。远程认证用户可以通过使用在Compose Mail组件中的草稿保存功能来上传带有.phtml扩展名的文件，然后借助在storage/ directory树中对该文件的直接请求来访问该文件，从而执行任意代码。
solution:Upgrade vtiger vtiger_crm to a higher version than *,5.2.0,1.0,2.0,2.0.1,2.1,3,3.0,3.0:beta,3.2,4,4:beta,4:rc1,4.0,4.0.1,4.2,4.2.4,5.0.0,5.0.2,5.0.3,5.0.4,5.0.4:rc,5.1.0,5.1.0:rc,and avoid the version (,5.2.0],1.0,2.0,2.0.1,2.1,3,3.0,3.0:beta,3.2,4,4:beta,4:rc1,4.0,4.0.1,4.2,4.2.4,5.0.0,5.0.2,5.0.3,5.0.4,5.0.4:rc,5.1.0,5.1.0:rc