CVE-2026-69140 in SuiteCRM
الملخص
بحسب VulDB • 05/11/2026
SuiteCRM هو تطبيق برمجي مفتوح المصدر لإدارة علاقات العملاء (CRM) جاهز للاستخدام على مستوى المؤسسات. قبل الإصدارين 7.15.2 و 8.10.2، يقوم ملف GetLatestRevision.php بإدراج دالة get_latest_for_id مباشرةً في جملة SQL UPDATE. وعلى الرغم من أن الدالة securexss() تقوم عادةً بتشفير علامات الاقتباس ككيانات (entity-encoding)، فإن الإدخال الذي يسبقه حمولة XSS يجعل AntiXSS يختار سلسلة معالجة بدلاً من النسخة الاحتياطية المشفرة، مما يسمح لعلامة اقتباس حرفية بالوصول إلى الاستعلام. يمكن لمستخدم ذي صلاحيات منخفضة لديه وصول إلى وحدة المستندات أن يكشف عن بيانات قاعدة البيانات ويقوم بتحديث جماعي لسجلات linked_documents، بينما لا تدعم هذه الثغرة الجمل المتراكبة (stacked statements) أو عمليات DROP أو INSERT التعسفية. تم إصلاح هذه المشكلة في الإصدارين 7.15.2 و 8.10.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.