CVE-2025-41384
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W SuiteCRM v7.14.1 występuje podatność Cross-Site Scripting (XSS) typu reflected. Atakujący może wykonać kod JavaScript, modyfikując nagłówek HTTP Referer, aby zawierał dowolną domenę ze złośliwym kodem JavaScript na końcu. Serwer próbuje zablokować dowolną domenę, ale pozwala na wykonanie kodu JavaScript.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub danych. Ryzyko dotyczy użytkowników SuiteCRM.
Rekomendacja
Zaktualizuj SuiteCRM do najnowszej wersji (powyżej 7.14.1). Jeśli aktualizacja nie jest możliwa, rozważ wdrożenie dodatkowych mechanizmów walidacji nagłówka Referer.
Inne podatności w SuiteCRM
Zobacz wszystkie- CVE-2015-5948Wysokie
W SuiteCRM przed wersją 7.2.3 występuje warunkowa podatność, która pozwala zdalnym atakującym na wykonanie dowolnego kodu. Problem ten wynika z niekompletnej poprawki dla CVE-2015-5947.
- CVE-2015-5947Wysokie
SuiteCRM w wersjach przed 7.2.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu.
- CVE-2015-5946Wysokie
W SuiteCRM w wersji 7.2.2 występuje luka związana z niekompletną czarną listą, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu poprzez przesłanie pliku z rozszerzeniem wykonywalnym.
- CVE-2022-50589Krytyczne
Podatność SQL injection w SuiteCRM przed wersją 7.12.6 występuje podczas przetwarzania parametru 'uid' w funkcji eksportu. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę lukę do wykonania dowolnego kodu.
- CVE-2026-108713Średnie
SuiteCRM w wersjach do 7.15.2 oraz 8.x do 8.10.2 zawiera brak autoryzacji w punkcie wejścia setCampaignMarketingAndTemplate, co pozwala uwierzytelnionym użytkownikom na tworzenie i modyfikowanie rekordów EmailMarketing. Użytkownicy z niskimi uprawnieniami, bez dostępu do kampanii, mogą podać marketingId, campaignId i templateId, aby ponownie podpiąć wiadomości marketingowe lub zmienić szablon wysyłany przez EmailMan w e-mailach kampanii.
- CVE-2026-108712Średnie
SuiteCRM w wersjach do 7.15.2 i 8.10.2 zawiera brak autoryzacji w punkcie wejścia DetailUserRole, co pozwala uwierzytelnionym użytkownikom niebędącym administratorami na przeglądanie danych ACL innych użytkowników. Atakujący może podać identyfikator innego nieadministracyjnego użytkownika w parametrze record, aby odczytać jego przypisane role i macierz akcji ACL dla modułów.
- CVE-2019-25664Wysokie
SuiteCRM 7.10.7 zawiera podatność na czasowe wstrzykiwanie SQL w parametrze record akcji DetailView modułu Users. Uwierzytelnieni atakujący mogą wyodrębnić dane przez ślepe wstrzykiwanie SQL oparte na czasie.
- CVE-2019-25663Wysokie
SuiteCRM 7.10.7 zawiera podatność na wstrzykiwanie SQL przez parametr parentTab w module email. Uwierzytelnieni atakujący mogą wyodrębnić dane przez ślepe wstrzykiwanie SQL oparte na wartościach logicznych.
- CVE-2022-50590Średnie
Podatność typu confusion w SuiteCRM przed wersją 7.12.6 występuje podczas przetwarzania parametru 'module' w funkcji 'deleteAttachment'. Zdalny, nieuwierzytelniony atakujący może zmieniać obiekty bazy danych, w tym adres e-mail administratora.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Scripting (XSS) vulnerability reflected in SuiteCRM v7.14.1. This vulnerability allows an attacker to execute JavaScript code by modifying the HTTP Referer header to include an arbitrary domain with malicious JavaScript code at the end. The server will attempt to block the arbitrary domain but will allow the JavaScript code to execute.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS