CVE-2026-63215
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 metoda get_entry_list interfejsu REST API v4.1 jest podatna na czasową ślepą iniekcję SQL, gdy uwierzytelniony użytkownik jednocześnie obejdzie dwa niezależne mechanizmy bezpieczeństwa. Biuletyn nie precyzuje tych mechanizmów, a skuteczna eksploatacja może ujawnić poufne informacje z bazy danych.
Ocena ryzyka
Uwierzytelniony użytkownik może w określonych warunkach wyodrębnić poufne dane z bazy, co stanowi ryzyko wycieku informacji.
Rekomendacja
Zaktualizuj SuiteCRM do wersji 7.15.2 lub 8.10.2 i przejrzyj mechanizmy kontroli bezpieczeństwa wokół metody get_entry_list.
Inne podatności w SuiteCRM
Zobacz wszystkie- CVE-2015-5948Wysokie
W SuiteCRM przed wersją 7.2.3 występuje warunkowa podatność, która pozwala zdalnym atakującym na wykonanie dowolnego kodu. Problem ten wynika z niekompletnej poprawki dla CVE-2015-5947.
- CVE-2015-5947Wysokie
SuiteCRM w wersjach przed 7.2.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu.
- CVE-2015-5946Wysokie
W SuiteCRM w wersji 7.2.2 występuje luka związana z niekompletną czarną listą, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu poprzez przesłanie pliku z rozszerzeniem wykonywalnym.
- CVE-2026-71550Krytyczne
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 kontroler workflow używa wartości aow_action podatnej na path traversal w require_once() bez ograniczenia rozwiązywanego pliku. Uwierzytelniony użytkownik z rolą WorkFlow może dołączyć wykonywalny kod PHP i uzyskać zdalne wykonanie kodu.
- CVE-2026-100358Krytyczne
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 edytor Studio Dropdown Editor przepuszcza $dropdown_name przez html_entity_decode() i zapisuje wynik bezpośrednio do pliku językowego PHP w katalogu custom/, który jest dołączany przy późniejszych ładowaniach stron. Administrator może wstrzyknąć trwały kod PHP wykonywany jako konto serwera webowego.
- CVE-2022-50589Krytyczne
Podatność SQL injection w SuiteCRM przed wersją 7.12.6 występuje podczas przetwarzania parametru 'uid' w funkcji eksportu. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę lukę do wykonania dowolnego kodu.
- CVE-2026-97377Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 starsza metoda portalu SOAP portal_get_entry_list propaguje wartości where i order_by kontrolowane przez wywołującego do konstrukcji zapytania SQL bez wystarczającej neutralizacji. Użytkownik API portalu z niskimi uprawnieniami może przeprowadzić ślepą iniekcję SQL.
- CVE-2026-71548Wysokie
W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 metoda AOR_Report::build_report_query_where uwzględnia parameter_value edytora raportów przy value_type=Field bez wystarczającej walidacji. Uwierzytelniony użytkownik mogący zapisywać raporty może wykorzystać iniekcję SQL do odczytu całej bazy danych SuiteCRM.
- CVE-2026-69145Średnie
W SuiteCRM przed wersjami 7.15.2 i 8.10.2 generowanie raportów AOR ponownie ładuje wartość zapisaną w aor_fields.field i wstawia ją do SQL raportu bez ścisłej walidacji pola. Uwierzytelniony użytkownik mogący konfigurować raporty może wstrzyknąć SQL przez tę zapisaną wartość pola i ujawnić zawartość bazy danych.
- CVE-2026-69144Średnie
W SuiteCRM przed wersjami 7.15.2 i 8.10.2 download.php sprawdza autoryzację względem obiektu Documents, zanim ustali, czy podany identyfikator jest document_revisions.id. Gdy identyfikator wersji jest przesyłany z type=Documents, sprawdzenie dotyczy pustego obiektu Documents, a wersja jest następnie serwowana bez weryfikacji dokumentu nadrzędnego. Użytkownik z niskimi uprawnieniami może wykorzystać tę dezorientację identyfikatorów do pobrania dokumentów należących do administratora lub w inny sposób chronionych.
Oryginalny opis (angielski, źródło NVD)
SuiteCRM is an open-source, enterprise-ready Customer Relationship Management (CRM) software application. Prior to 7.15.2 and 8.10.2, the REST API v4.1 get_entry_list method is vulnerable to time-based blind SQL injection when an authenticated caller simultaneously bypasses two independent security mechanisms. The advisory does not identify those controls more precisely, so their identities remain unspecified. Successful exploitation can extract sensitive database information. This issue is fixed in versions 7.15.2 and 8.10.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS