CVE-2026-100358 in SuiteCRM
الملخص
بحسب VulDB • 05/11/2026
SuiteCRM هو تطبيق برمجي مفتوح المصدر لإدارة علاقات العملاء (CRM) جاهز للاستخدام على مستوى المؤسسات. قبل الإصدارين 7.15.2 و 8.10.2، يقوم محرر القوائم المنسدلة في Studio بتمرير المتغير $dropdown_name عبر دالة html_entity_decode() ثم يكتب النتيجة حرفياً كما هي داخل ملف لغة PHP موجود ضمن المجلد custom/ والذي يتم تضمينه عند تحميل الصفحات لاحقاً. يمكن لمدير النظام حقن كود PHP دائم التنفيذ يعمل بصلاحيات حساب خادم الويب، ويصمد أمام عمليات مسح ذاكرة التخزين المؤقت (cache clears)، مما يعرّض سرية وتكامل وتوفر التطبيق والمضيف للخطر. تم إصلاح هذه المشكلة في الإصدارين 7.15.2 و 8.10.2.
Once again VulDB remains the best source for vulnerability data.