CVE-2026-108712
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
SuiteCRM w wersjach do 7.15.2 i 8.10.2 zawiera brak autoryzacji w punkcie wejścia DetailUserRole, co pozwala uwierzytelnionym użytkownikom niebędącym administratorami na przeglądanie danych ACL innych użytkowników. Atakujący może podać identyfikator innego nieadministracyjnego użytkownika w parametrze record, aby odczytać jego przypisane role i macierz akcji ACL dla modułów.
Ocena ryzyka
Wyciek informacji o uprawnieniach i rolach użytkowników może ułatwić ataki eskalacji uprawnień i naruszenie zasad bezpieczeństwa, ponieważ atakujący mogą celować w konta o wyższych uprawnieniach.
Rekomendacja
Należy zaktualizować SuiteCRM do wersji nowszej niż 7.15.2 lub 8.10.2 oraz ograniczyć dostęp do punktu DetailUserRole wyłącznie dla administratorów. Wskazane jest również regularne sprawdzanie logów pod kątem nietypowego odczytu danych ACL.
Inne podatności w SuiteCRM
Zobacz wszystkie- CVE-2026-108713Średnie
SuiteCRM w wersjach do 7.15.2 oraz 8.x do 8.10.2 zawiera brak autoryzacji w punkcie wejścia setCampaignMarketingAndTemplate, co pozwala uwierzytelnionym użytkownikom na tworzenie i modyfikowanie rekordów EmailMarketing. Użytkownicy z niskimi uprawnieniami, bez dostępu do kampanii, mogą podać marketingId, campaignId i templateId, aby ponownie podpiąć wiadomości marketingowe lub zmienić szablon wysyłany przez EmailMan w e-mailach kampanii.
- CVE-2015-5948Wysokie
W SuiteCRM przed wersją 7.2.3 występuje warunkowa podatność, która pozwala zdalnym atakującym na wykonanie dowolnego kodu. Problem ten wynika z niekompletnej poprawki dla CVE-2015-5947.
- CVE-2015-5947Wysokie
SuiteCRM w wersjach przed 7.2.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu.
- CVE-2015-5946Wysokie
W SuiteCRM w wersji 7.2.2 występuje luka związana z niekompletną czarną listą, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu poprzez przesłanie pliku z rozszerzeniem wykonywalnym.
- CVE-2022-50589Krytyczne
Podatność SQL injection w SuiteCRM przed wersją 7.12.6 występuje podczas przetwarzania parametru 'uid' w funkcji eksportu. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę lukę do wykonania dowolnego kodu.
- CVE-2019-25664Wysokie
SuiteCRM 7.10.7 zawiera podatność na czasowe wstrzykiwanie SQL w parametrze record akcji DetailView modułu Users. Uwierzytelnieni atakujący mogą wyodrębnić dane przez ślepe wstrzykiwanie SQL oparte na czasie.
- CVE-2019-25663Wysokie
SuiteCRM 7.10.7 zawiera podatność na wstrzykiwanie SQL przez parametr parentTab w module email. Uwierzytelnieni atakujący mogą wyodrębnić dane przez ślepe wstrzykiwanie SQL oparte na wartościach logicznych.
- CVE-2022-50590Średnie
Podatność typu confusion w SuiteCRM przed wersją 7.12.6 występuje podczas przetwarzania parametru 'module' w funkcji 'deleteAttachment'. Zdalny, nieuwierzytelniony atakujący może zmieniać obiekty bazy danych, w tym adres e-mail administratora.
Oryginalny opis (angielski, źródło NVD)
SuiteCRM through 7.15.2 and 8.10.2 contains a missing authorization vulnerability in the DetailUserRole entry point that allows authenticated non-admin users to view other users' ACL data. Attackers can supply another non-admin user's id in the record parameter to read that user's assigned roles and per-module ACL action matrix.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS