CVE-2026-100361 in SuiteCRM
Zusammenfassung
von VulDB • 05.11.2026
SuiteCRM ist eine Open-Source-CRM-Anwendung (Customer Relationship Management), die für den Einsatz im Unternehmensbereich geeignet ist. Vor den Versionen 7.15.2 und 8.10.2 überprüft der V8-Schreibpfad zwar, ob ein Feld existiert, erzwingt jedoch nicht die Metadaten `api-visible` oder `sensitive`, die dasselbe Feld bei Lesevorgängen ausblenden würden. Der betroffene Ablauf beginnt mit PATCH /Api/V8/module und verwendet user_hash, external_auth_only, api-visible: false sowie sensitive: true, um angreiferkontrollierte Daten oder Autorisierungszustände in eine sicherheitsrelevante Operation einzuschleusen. Ein authentifizierter Benutzer kann interne Authentifizierungsfelder massenhaft zuweisen (Mass Assignment), Passwort-Hashes oder Flags für die externe Authentifizierung ändern und so unbefugten Zugriff auf Konten dauerhaft ermöglichen. Dieses Problem wurde in den Versionen 7.15.2 und 8.10.2 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.