CVE-2026-63214
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 starsze metody REST dołączają parametr zapytania uwierzytelnionego użytkownika jako klauzulę SQL WHERE po niewystarczającej walidacji strukturalnej. Konto z uprawnieniem do listy w module może obejść filtr user_hash, pobrać hashe haseł i inne dane z bazy oraz wykorzystać odzyskane dane administracyjne do kompromitacji aplikacji.
Ocena ryzyka
Użytkownik o niskich uprawnieniach może uzyskać hashe haseł i dane administracyjne, co może prowadzić do pełnej kompromitacji aplikacji.
Rekomendacja
Zaktualizuj SuiteCRM do wersji 7.15.2 lub 8.10.2 i wdroż ścisłą walidację strukturalną oraz parametryzację zapytań w starszych metodach REST.
Inne podatności w SuiteCRM
Zobacz wszystkie- CVE-2015-5948Wysokie
W SuiteCRM przed wersją 7.2.3 występuje warunkowa podatność, która pozwala zdalnym atakującym na wykonanie dowolnego kodu. Problem ten wynika z niekompletnej poprawki dla CVE-2015-5947.
- CVE-2015-5947Wysokie
SuiteCRM w wersjach przed 7.2.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu.
- CVE-2015-5946Wysokie
W SuiteCRM w wersji 7.2.2 występuje luka związana z niekompletną czarną listą, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu poprzez przesłanie pliku z rozszerzeniem wykonywalnym.
- CVE-2026-71550Krytyczne
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 kontroler workflow używa wartości aow_action podatnej na path traversal w require_once() bez ograniczenia rozwiązywanego pliku. Uwierzytelniony użytkownik z rolą WorkFlow może dołączyć wykonywalny kod PHP i uzyskać zdalne wykonanie kodu.
- CVE-2026-100358Krytyczne
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 edytor Studio Dropdown Editor przepuszcza $dropdown_name przez html_entity_decode() i zapisuje wynik bezpośrednio do pliku językowego PHP w katalogu custom/, który jest dołączany przy późniejszych ładowaniach stron. Administrator może wstrzyknąć trwały kod PHP wykonywany jako konto serwera webowego.
- CVE-2022-50589Krytyczne
Podatność SQL injection w SuiteCRM przed wersją 7.12.6 występuje podczas przetwarzania parametru 'uid' w funkcji eksportu. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę lukę do wykonania dowolnego kodu.
- CVE-2026-97377Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 starsza metoda portalu SOAP portal_get_entry_list propaguje wartości where i order_by kontrolowane przez wywołującego do konstrukcji zapytania SQL bez wystarczającej neutralizacji. Użytkownik API portalu z niskimi uprawnieniami może przeprowadzić ślepą iniekcję SQL.
- CVE-2026-71548Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 metoda AOR_Report::build_report_query_where uwzględnia parameter_value edytora raportów przy value_type=Field bez wystarczającej walidacji. Uwierzytelniony użytkownik mogący zapisywać raporty może wykorzystać iniekcję SQL do odczytu całej bazy danych SuiteCRM.
- CVE-2026-69145Średnie
W SuiteCRM przed wersjami 7.15.2 i 8.10.2 generowanie raportów AOR ponownie ładuje wartość zapisaną w aor_fields.field i wstawia ją do SQL raportu bez ścisłej walidacji pola. Uwierzytelniony użytkownik mogący konfigurować raporty może wstrzyknąć SQL przez tę zapisaną wartość pola i ujawnić zawartość bazy danych.
- CVE-2026-69144Średnie
W SuiteCRM przed wersjami 7.15.2 i 8.10.2 download.php sprawdza autoryzację względem obiektu Documents, zanim ustali, czy podany identyfikator jest document_revisions.id. Gdy identyfikator wersji jest przesyłany z type=Documents, sprawdzenie dotyczy pustego obiektu Documents, a wersja jest następnie serwowana bez weryfikacji dokumentu nadrzędnego. Użytkownik z niskimi uprawnieniami może wykorzystać tę dezorientację identyfikatorów do pobrania dokumentów należących do administratora lub w inny sposób chronionych.
Oryginalny opis (angielski, źródło NVD)
SuiteCRM is an open-source, enterprise-ready Customer Relationship Management (CRM) software application. Prior to 7.15.2 and 8.10.2, legacy REST methods append an authenticated caller's query parameter as a SQL WHERE clause after insufficient structural validation. The affected flow begins at /service/v4_1/rest.php and uses get_entry_list, get_entries_count, and query to carry attacker-controlled data or authorization state into the security-sensitive operation. An account with list permission on a module can bypass the user_hash filter, retrieve password hashes and other database data, and use recovered administrative credentials to compromise the application. This issue is fixed in versions 7.15.2 and 8.10.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS