CVE-2026-100364 in SuiteCRM
Zusammenfassung
von VulDB • 05.11.2026
SuiteCRM ist eine Open-Source-Anwendung für das Customer Relationship Management (CRM), die unternehmensreif konzipiert wurde. Vor den Versionen 7.15.2 und 8.10.2 schlägt der Update-Pfad des V8 JSON:API fehl, das Attribut „id“ zu entfernen, bevor benutzergestellte Attribute einem SugarBean zugewiesen werden. Der betroffene Ablauf beginnt bei updateRecord() und verwendet processAttributes(), id sowie ACL_ALLOW_OWNER, um angreiferkontrollierte Daten oder Autorisierungszustände in die sicherheitskritische Operation einzuschleusen. Ein authentifizierter Benutzer kann eine Opfer-Record-ID substituieren, die auf den Besitzer beschränkte Autorisierung umgehen, einen anderen Record überschreiben und das Eigentum an einem Record übernehmen. Dieses Problem wurde in den Versionen 7.15.2 und 8.10.2 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.