Podatności SuiteCRM

W SuiteCRM przed wersją 7.2.3 występuje warunkowa podatność, która pozwala zdalnym atakującym na wykonanie dowolnego kodu. Problem ten wynika z niekompletnej poprawki dla CVE-2015-5947.

SuiteCRM w wersjach przed 7.2.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu.

W SuiteCRM w wersji 7.2.2 występuje luka związana z niekompletną czarną listą, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu poprzez przesłanie pliku z rozszerzeniem wykonywalnym.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 kontroler workflow używa wartości aow_action podatnej na path traversal w require_once() bez ograniczenia rozwiązywanego pliku. Uwierzytelniony użytkownik z rolą WorkFlow może dołączyć wykonywalny kod PHP i uzyskać zdalne wykonanie kodu.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 edytor Studio Dropdown Editor przepuszcza $dropdown_name przez html_entity_decode() i zapisuje wynik bezpośrednio do pliku językowego PHP w katalogu custom/, który jest dołączany przy późniejszych ładowaniach stron. Administrator może wstrzyknąć trwały kod PHP wykonywany jako konto serwera webowego.

Podatność SQL injection w SuiteCRM przed wersją 7.12.6 występuje podczas przetwarzania parametru 'uid' w funkcji eksportu. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę lukę do wykonania dowolnego kodu.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 starsza metoda portalu SOAP portal_get_entry_list propaguje wartości where i order_by kontrolowane przez wywołującego do konstrukcji zapytania SQL bez wystarczającej neutralizacji. Użytkownik API portalu z niskimi uprawnieniami może przeprowadzić ślepą iniekcję SQL.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 metoda AOR_Report::build_report_query_where uwzględnia parameter_value edytora raportów przy value_type=Field bez wystarczającej walidacji. Uwierzytelniony użytkownik mogący zapisywać raporty może wykorzystać iniekcję SQL do odczytu całej bazy danych SuiteCRM.

W SuiteCRM przed wersjami 7.15.2 i 8.10.2 generowanie raportów AOR ponownie ładuje wartość zapisaną w aor_fields.field i wstawia ją do SQL raportu bez ścisłej walidacji pola. Uwierzytelniony użytkownik mogący konfigurować raporty może wstrzyknąć SQL przez tę zapisaną wartość pola i ujawnić zawartość bazy danych.

W SuiteCRM przed wersjami 7.15.2 i 8.10.2 download.php sprawdza autoryzację względem obiektu Documents, zanim ustali, czy podany identyfikator jest document_revisions.id. Gdy identyfikator wersji jest przesyłany z type=Documents, sprawdzenie dotyczy pustego obiektu Documents, a wersja jest następnie serwowana bez weryfikacji dokumentu nadrzędnego. Użytkownik z niskimi uprawnieniami może wykorzystać tę dezorientację identyfikatorów do pobrania dokumentów należących do administratora lub w inny sposób chronionych.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 endpoint znaczników mapy jjwg_Maps używa wartości distance uwierzytelnionego wywołującego w akcji map_markers bez ścisłej walidacji numerycznej lub parametryzacji. Uwierzytelniony atakujący może zmodyfikować zapytanie SQL.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 akcja CasesController action_get_kb_articles interpoluje $_POST['search'] do wyrażenia CASE WHEN ... LIKE oraz klauzuli WHERE SQL. Mimo że securexss() zwykle koduje encjami cudzysłowy, wejście poprzedzone payloadem XSS powoduje, że AntiXSS wybiera przetworzony ciąg zamiast zakodowanej kopii zapasowej, pozwalając literalnemu cudzysłowowi dotrzeć do zapytania.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 plik GetLatestRevision.php interpoluje get_latest_for_id bezpośrednio do instrukcji SQL UPDATE. Mimo że securexss() zwykle koduje encjami cudzysłowy, wejście poprzedzone payloadem XSS powoduje, że AntiXSS wybiera przetworzony ciąg zamiast zakodowanej kopii zapasowej, pozwalając literalnemu cudzysłowowi dotrzeć do zapytania.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 akcja testConnection w CalendarAccount przekazuje parametr server_url uwierzytelnionego użytkownika bezpośrednio do curl bez walidacji hosta, adresu ani schematu. Serwer wysyła żądanie PROPFIND ze swojego kontekstu sieciowego i zwraca treści odpowiedzi błędnych, co umożliwia dostęp do usług wewnętrznych, częściowe ujawnienie odpowiedzi, enumerację usług i potencjalny dostęp do metadanych chmury.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 obsługa załączników szablonów e-mail przepuszcza tablicę parametru POST remove_attachment przez przetwarzanie securexss() zorientowane na HTML i bezpośrednio wstawia jej elementy do zapytania SQL UPDATE. Uwierzytelniony atakujący może wstrzyknąć SQL, aby ujawnić informacje z bazy danych lub wykorzystać kontekst UPDATE do miękkiego usunięcia wszystkich rekordów w tabeli notes jednym żądaniem.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 moduł Project wstawia parametr POST duplicateId uwierzytelnionego użytkownika bezpośrednio do zapytania SQL bez sanityzacji, cytowania ani parametryzacji. Uwierzytelniony atakujący może zmienić strukturę zapytania i ujawnić poufne informacje z bazy danych.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 handler REST v4 JSON odczytuje wartość RAW_REQUEST sprzed filtrowania, a funkcje pomocnicze zapisu relacji wstawiają dostarczone wartości pól do instrukcji INSERT i UPDATE. Uwierzytelniony użytkownik może wstrzyknąć SQL przez pola relacji, aby odczytać lub zmienić dane w bazie, a przy podwyższonych uprawnieniach konta bazy może doprowadzić do zapisu plików.

W SuiteCRM przed wersjami 7.15.2 i 8.10.2 akcja kontrolera changeReportPage renderuje chroniony raport bez powtórzenia kontroli dostępu na poziomie rekordu egzekwowanej przez DetailView. Uwierzytelniony użytkownik może bezpośrednio wywołać akcję i odczytać wiersze raportu oraz dane z ograniczonych modułów, mimo widoczności raportu ograniczonej do właściciela lub ról.

W SuiteCRM przed wersjami 7.15.2 i 8.10.2 punkt wejścia generatePdf ładuje dowolny rekord przez BeanFactory::getBean() bez sprawdzania dostępu użytkownika do rekordu. Każdy uwierzytelniony użytkownik może odczytać pola z rekordów zabronionych przez skonfigurowane role ACL, w tym dane kontaktów, finansowe, transakcji i pól niestandardowych.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 metoda get_entry_list interfejsu REST API v4.1 jest podatna na czasową ślepą iniekcję SQL, gdy uwierzytelniony użytkownik jednocześnie obejdzie dwa niezależne mechanizmy bezpieczeństwa. Biuletyn nie precyzuje tych mechanizmów, a skuteczna eksploatacja może ujawnić poufne informacje z bazy danych.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 starsze metody REST dołączają parametr zapytania uwierzytelnionego użytkownika jako klauzulę SQL WHERE po niewystarczającej walidacji strukturalnej. Konto z uprawnieniem do listy w module może obejść filtr user_hash, pobrać hashe haseł i inne dane z bazy oraz wykorzystać odzyskane dane administracyjne do kompromitacji aplikacji.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 przepływ commit w Upgrade Wizard ufa ukrytemu parametrowi zip_to_dir, a clean_path() nie odrzuca sekwencji przejścia katalogów. Uwierzytelniony administrator może skopiować rozpakowane pliki pakietu poza zamierzone miejsce docelowe, nadpisać pliki aplikacji lub konfiguracji, umieścić wykonywalny PHP w katalogu web root lub spowodować odmowę usługi.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 API modułu V8 nie ma autoryzacji na poziomie modułu i pozwala użytkownikowi o niskich uprawnieniach tworzyć rekordy SchedulersJobs z kontrolowanymi przez atakującego wartościami target. Cron.php wykonuje zakolejkowane zadanie z uprawnieniami systemowymi, a cel url:: wykonuje żądania po stronie serwera do hostów wewnętrznych lub zewnętrznych, może podążać za przekierowaniami i utrzymywać się jako zadanie cykliczne.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 plik modules/Campaigns/PopupCampaignRoi.php wstawia $_REQUEST['id'] do zapytania SQL. Mimo że securexss() zwykle koduje encjami cudzysłowy, dane wejściowe poprzedzone ładunkiem XSS powodują, że AntiXSS wybiera przetworzony ciąg zamiast zakodowanego, pozwalając literalnemu cudzysłowowi dotrzeć do zapytania. Uwierzytelniony użytkownik z dostępem do Campaigns może przeprowadzić czasową ślepą iniekcję SQL przeciwko dowolnym tabelom bazy.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 akcja get_end_date w Projects Controller konkatenuje wartość task_id uwierzytelnionego użytkownika do zapytania SQL bez parametryzacji. Użytkownik o niskich uprawnieniach może użyć ślepej iniekcji SQL do enumeracji schematu bazy i wyodrębnienia poświadczeń, rekordów klientów oraz innych zawartości bazy.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 endpoint POST /Api/V8/module/{moduleName}/{id}/relationships/{linkFieldName} sprawdza jedynie uprawnienia do przeglądania i listowania, zanim relacja jeden-do-wielu zapisze klucz obcy rekordu docelowego, bez wymuszania wymaganego uprawnienia do edycji. Użytkownik o niskich uprawnieniach może przypisywać rekordy do innych osób, zmieniać własność i relacje istotne dla bezpieczeństwa, rozszerzać dostęp między użytkownikami oraz manipulować przepływami pracy.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 ochrona przed SSRF dodana w 7.15.1 używa porównania podciągu w isSelfRequest() zamiast porównania nazwy hosta. Uwierzytelniony atakujący może umieścić nazwę hosta serwera w ścieżce URL, aby obejść walidację IP i skierować żądania po stronie serwera do usług wewnętrznych.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 warunek raportu Multi kontrolowany przez użytkownika przekazuje parameter_value przez unencodeMultienum() i konkatenuje wynik do klauzuli WHERE SQL. Mimo że securexss() zwykle koduje encjami cudzysłowy, dane wejściowe poprzedzone ładunkiem XSS powodują, że AntiXSS wybiera przetworzony ciąg zamiast zakodowanej kopii zapasowej, pozwalając literalnemu cudzysłowowi dotrzeć do bazy danych. Użytkownik o niskich uprawnieniach z dostępem do AOR Reports może odczytywać dowolne tabele poprzez SQL injection oparty na czasie lub UNION.

W SuiteCRM przed wersjami 7.15.2 i 8.10.2 generowanie raportów AOR wstawia etykietę pola kontrolowaną przez atakującego do klauzuli ORDER BY bez listy dozwolonych wartości. Uwierzytelniony użytkownik z dostępem do raportów AOR może przeprowadzić czasową ekstrakcję skrótów haseł i dowolnych danych tabel oraz blokować połączenia bazodanowe kosztownymi wyrażeniami.

W SuiteCRM przed wersjami 7.15.2 i 8.10.2 ścieżka aktualizacji V8 JSON:API nie usuwa atrybutu id przed przypisaniem danych użytkownika do SugarBean. Uwierzytelniony użytkownik może podstawić identyfikator rekordu ofiary, obejść autoryzację właścicielską, nadpisać inny rekord i przejąć jego własność.

W SuiteCRM przed wersjami 7.15.2 i 8.10.2 API modułu V8 udostępnia operacje CRUD dla modułów administracyjnych każdemu uwierzytelnionemu użytkownikowi OAuth2. Użytkownik z niskimi uprawnieniami może tworzyć role, zmieniać poziomy ACL, przypisywać role o wyższych uprawnieniach i modyfikować konfigurację globalną, uzyskując kontrolę równoważną administratorowi.

W SuiteCRM endpoint /legacy/Api/V8/OAuth2 (password-grant) zwraca różne komunikaty błędów dla nieprawidłowej nazwy użytkownika i nieprawidłowego hasła. Nieuwierzytelniony zdalny atakujący może wykorzystać te różnice do wyliczania prawidłowych nazw użytkowników CRM, a następnie przeprowadzania ataków password spraying, credential stuffing, brute-force lub socjotechnicznych na potwierdzone konta.

W SuiteCRM przed wersjami 7.15.2 i 8.10.2 ścieżka zapisu V8 sprawdza istnienie pola, ale nie egzekwuje metadanych api-visible ani sensitive ukrywających to pole przy odczycie. Uwierzytelniony użytkownik może masowo przypisywać wewnętrzne pola uwierzytelniania, modyfikować skróty haseł lub flagi uwierzytelniania zewnętrznego i utrwalić nieautoryzowany dostęp do kont.

W SuiteCRM przed wersjami 7.15.2 i 8.10.2 ścieżki zapisu relacji API V8 nie egzekwują spójnie autoryzacji edycji i widoku na poziomie obiektów dla obu powiązanych rekordów. Uwierzytelniony użytkownik może tworzyć relacje bez prawa edycji konta oraz usuwać powiązania z ukrytym kontaktem, którego nie może bezpośrednio wyświetlić.

W module Project Template SuiteCRM funkcja action_get_end_date wstawia kontrolowane przez uwierzytelnionego użytkownika parametry POST task_id i lag bezpośrednio do zapytań SQL bez sanityzacji, parametryzacji ani escapowania. Każdy uwierzytelniony użytkownik może przeprowadzić blind SQL injection w celu odczytania danych klientów, komunikacji wewnętrznej, poświadczeń i innych zawartości bazy danych.

SuiteCRM w wersjach do 7.15.2 oraz 8.x do 8.10.2 zawiera brak autoryzacji w punkcie wejścia setCampaignMarketingAndTemplate, co pozwala uwierzytelnionym użytkownikom na tworzenie i modyfikowanie rekordów EmailMarketing. Użytkownicy z niskimi uprawnieniami, bez dostępu do kampanii, mogą podać marketingId, campaignId i templateId, aby ponownie podpiąć wiadomości marketingowe lub zmienić szablon wysyłany przez EmailMan w e-mailach kampanii.

SuiteCRM w wersjach do 7.15.2 i 8.10.2 zawiera brak autoryzacji w punkcie wejścia DetailUserRole, co pozwala uwierzytelnionym użytkownikom niebędącym administratorami na przeglądanie danych ACL innych użytkowników. Atakujący może podać identyfikator innego nieadministracyjnego użytkownika w parametrze record, aby odczytać jego przypisane role i macierz akcji ACL dla modułów.

SuiteCRM 7.10.7 zawiera podatność na czasowe wstrzykiwanie SQL w parametrze record akcji DetailView modułu Users. Uwierzytelnieni atakujący mogą wyodrębnić dane przez ślepe wstrzykiwanie SQL oparte na czasie.

SuiteCRM 7.10.7 zawiera podatność na wstrzykiwanie SQL przez parametr parentTab w module email. Uwierzytelnieni atakujący mogą wyodrębnić dane przez ślepe wstrzykiwanie SQL oparte na wartościach logicznych.

Podatność typu confusion w SuiteCRM przed wersją 7.12.6 występuje podczas przetwarzania parametru 'module' w funkcji 'deleteAttachment'. Zdalny, nieuwierzytelniony atakujący może zmieniać obiekty bazy danych, w tym adres e-mail administratora.

W SuiteCRM v7.14.1 występuje podatność Cross-Site Scripting (XSS) typu reflected. Atakujący może wykonać kod JavaScript, modyfikując nagłówek HTTP Referer, aby zawierał dowolną domenę ze złośliwym kodem JavaScript na końcu. Serwer próbuje zablokować dowolną domenę, ale pozwala na wykonanie kodu JavaScript.