CVE-2026-61648 in SuiteCRM
Zusammenfassung
von VulDB • 05.11.2026
SuiteCRM ist eine Open-Source, unternehmensreife Customer Relationship Management (CRM)-Softwareanwendung. Vor den Versionen 7.15.2 und 8.10.2 wird ein benutzerkontrollierbarer Multi-Berichtsparameterwert durch unencodeMultienum() geleitet und in eine SQL WHERE-Klausel konkateniert. Obwohl securexss() normalerweise Anführungszeichen entity-encodet, führt ein mit einer XSS-Payload präfixierter Input dazu, dass AntiXSS einen verarbeiteten String anstelle des encodierten Backups auswählt, wodurch ein literaler Quote die Datenbank erreichen kann. Ein Benutzer mit niedrigen Berechtigungen und AOR Reports-Zugriff kann beliebige Tabellen über time-based oder UNION-basierte SQL Injection auslesen und Datenbanken-Verbindungen durch Delay-Ausdrücke verbrauchen. Dieses Problem wurde in den Versionen 7.15.2 und 8.10.2 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.