CVE-2026-61649
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 ochrona przed SSRF dodana w 7.15.1 używa porównania podciągu w isSelfRequest() zamiast porównania nazwy hosta. Uwierzytelniony atakujący może umieścić nazwę hosta serwera w ścieżce URL, aby obejść walidację IP i skierować żądania po stronie serwera do usług wewnętrznych.
Ocena ryzyka
Obejście ochrony SSRF umożliwia atakującemu sondowanie i dostęp do wewnętrznych usług sieciowych, co może prowadzić do ujawnienia danych lub dalszej eskalacji ataku.
Rekomendacja
Zaktualizuj SuiteCRM do wersji 7.15.2 lub 8.10.2, aby naprawić walidację hosta w isSelfRequest().
Inne podatności w SuiteCRM
Zobacz wszystkie- CVE-2015-5948Wysokie
W SuiteCRM przed wersją 7.2.3 występuje warunkowa podatność, która pozwala zdalnym atakującym na wykonanie dowolnego kodu. Problem ten wynika z niekompletnej poprawki dla CVE-2015-5947.
- CVE-2015-5947Wysokie
SuiteCRM w wersjach przed 7.2.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu.
- CVE-2015-5946Wysokie
W SuiteCRM w wersji 7.2.2 występuje luka związana z niekompletną czarną listą, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu poprzez przesłanie pliku z rozszerzeniem wykonywalnym.
- CVE-2026-71550Krytyczne
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 kontroler workflow używa wartości aow_action podatnej na path traversal w require_once() bez ograniczenia rozwiązywanego pliku. Uwierzytelniony użytkownik z rolą WorkFlow może dołączyć wykonywalny kod PHP i uzyskać zdalne wykonanie kodu.
- CVE-2026-100358Krytyczne
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 edytor Studio Dropdown Editor przepuszcza $dropdown_name przez html_entity_decode() i zapisuje wynik bezpośrednio do pliku językowego PHP w katalogu custom/, który jest dołączany przy późniejszych ładowaniach stron. Administrator może wstrzyknąć trwały kod PHP wykonywany jako konto serwera webowego.
- CVE-2022-50589Krytyczne
Podatność SQL injection w SuiteCRM przed wersją 7.12.6 występuje podczas przetwarzania parametru 'uid' w funkcji eksportu. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę lukę do wykonania dowolnego kodu.
- CVE-2026-97377Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 starsza metoda portalu SOAP portal_get_entry_list propaguje wartości where i order_by kontrolowane przez wywołującego do konstrukcji zapytania SQL bez wystarczającej neutralizacji. Użytkownik API portalu z niskimi uprawnieniami może przeprowadzić ślepą iniekcję SQL.
- CVE-2026-71548Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 metoda AOR_Report::build_report_query_where uwzględnia parameter_value edytora raportów przy value_type=Field bez wystarczającej walidacji. Uwierzytelniony użytkownik mogący zapisywać raporty może wykorzystać iniekcję SQL do odczytu całej bazy danych SuiteCRM.
- CVE-2026-69145Średnie
W SuiteCRM przed wersjami 7.15.2 i 8.10.2 generowanie raportów AOR ponownie ładuje wartość zapisaną w aor_fields.field i wstawia ją do SQL raportu bez ścisłej walidacji pola. Uwierzytelniony użytkownik mogący konfigurować raporty może wstrzyknąć SQL przez tę zapisaną wartość pola i ujawnić zawartość bazy danych.
- CVE-2026-69144Średnie
W SuiteCRM przed wersjami 7.15.2 i 8.10.2 download.php sprawdza autoryzację względem obiektu Documents, zanim ustali, czy podany identyfikator jest document_revisions.id. Gdy identyfikator wersji jest przesyłany z type=Documents, sprawdzenie dotyczy pustego obiektu Documents, a wersja jest następnie serwowana bez weryfikacji dokumentu nadrzędnego. Użytkownik z niskimi uprawnieniami może wykorzystać tę dezorientację identyfikatorów do pobrania dokumentów należących do administratora lub w inny sposób chronionych.
Oryginalny opis (angielski, źródło NVD)
SuiteCRM is an open-source, enterprise-ready Customer Relationship Management (CRM) software application. Prior to 7.15.2 and 8.10.2, the SSRF protection added in 7.15.1 uses a substring comparison in isSelfRequest() rather than hostname equality. The affected flow begins at validate_external_host() and uses isSelfRequest(), and stripos() to carry attacker-controlled data or authorization state into the security-sensitive operation. An authenticated attacker can place the server hostname in a URL path to bypass IP validation and direct server-side requests to internal services. This issue is fixed in versions 7.15.2 and 8.10.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS