CVE-2026-29103
CriticalSummary
W SuiteCRM 7.15.0 i 8.9.2 występuje krytyczna podatność na zdalne wykonanie kodu (RCE), która pozwala uwierzytelnionym administratorom na wykonywanie dowolnych poleceń systemowych. Jest to bezpośrednie obejście poprawki CVE-2024-49774, a problem dotyczy błędnego przetwarzania tokenów PHP w pliku ModuleScanner.php.
Risk Assessment
Podatność ta stwarza poważne zagrożenie dla bezpieczeństwa systemu, umożliwiając atakującym ukrywanie niebezpiecznych wywołań funkcji i omijanie zabezpieczeń MLP. Może to prowadzić do pełnej kompromitacji systemu przez osoby nieuprawnione.
Recommendation
Zaleca się aktualizację do wersji 7.15.1 lub 8.9.3, które naprawiają tę podatność. Należy również przeprowadzić audyt zabezpieczeń, aby upewnić się, że inne potencjalne luki są załatane.
Original NVD description (English source)
SuiteCRM is an open-source, enterprise-ready Customer Relationship Management (CRM) software application. A Critical Remote Code Execution (RCE) vulnerability exists in SuiteCRM 7.15.0 and 8.9.2, allowing authenticated administrators to execute arbitrary system commands. This vulnerability is a direct Patch Bypass of CVE-2024-49774. Although the vendor attempted to fix the issue in version 7.14.5, the underlying flaw in ModuleScanner.php regarding PHP token parsing remains. The scanner incorrectly resets its internal state ($checkFunction flag) when encountering any single-character token (such as =, ., or ;). This allows attackers to hide dangerous function calls (e.g., system(), exec()) using variable assignments or string concatenation, completely evading the MLP security controls. Versions 7.15.1 and 8.9.3 patch the issue.