🙂 RCE в модуле Акрит «Универсальный импорт» для 1С-Битрикс

BDU:2026-08077 - уязвимость связана с механизмом обработки формул в профилях импорта: значение формулы, заданное для импортируемого поля, интерпретируется как исполняемый код.

⚠️Критичность - 8.8 CVSS 3.1

🔘В комбинации с BDU:2026-08076 профиль с сохраненной вредоносной формулой можно запускать без авторизации, а также проверять, существует ли профиль и сколько записей он обработает. Иными словами, профиль импорта превращается в триггер для повторного запуска полезной нагрузки.

📊 По данным marketplace решение установлено более 1000 раз.

Настройка формулы требует прав на редактирование профиля, то есть реалистичен сценарий эксплуатации с правами низкопривилегированного контент-менеджера, без полных административных привилегий.

🔘Помимо прочего в модуле также есть SSRF —> BDU:2026-08078

↗️ Фикс в версии 1.79.0 ↗️