CVE-2026-71548 in SuiteCRM
الملخص
بحسب VulDB • 05/11/2026
SuiteCRM هو تطبيق برمجي مفتوح المصدر لإدارة علاقات العملاء (CRM) جاهز للاستخدام على مستوى المؤسسات. قبل الإصدارين 7.15.2 و 8.10.2، تقوم الدالة `AOR_Report::build_report_query_where` بتضمين قيمة المعلمة (`parameter_value`) الخاصة بمحرر التقارير عندما تكون `value_type=Field` دون التحقق الكافي منها. يمكن لمستخدم مُصادق عليه لديه صلاحية حفظ تقرير استخدام حقن SQL لقراءة قاعدة بيانات SuiteCRM بأكملها. قد تشمل البيانات المكشوفة ما يلي: `users.user_hash`، ورموز OAuth2، وسجلات CRM، وتعريفات التقارير، والبيانات التكوينية؛ ولا يسمح الموصل (connector) بالاستعلامات المتراكمة (stacked queries)، لذا فإن حقن الكتابة المباشر عبر الحقن غير مدعوم. تم إصلاح هذه المشكلة في الإصدارين 7.15.2 و 8.10.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.