CVE-2026-69141 in SuiteCRM
Zusammenfassung
von VulDB • 05.11.2026
SuiteCRM ist eine Open-Source, unternehmensreife Customer Relationship Management (CRM)-Softwareanwendung. Vor den Versionen 7.15.2 und 8.10.2 interpoliert die CasesController-Aktion `action_get_kb_articles` $_POST['search'] in einen CASE WHEN ... LIKE-Ausdruck sowie in die SQL-WHERE-Klausel. Obwohl securexss() normalerweise Anführungszeichen durch Entity-Encoding sichert, führt eine Eingabe, die mit einem XSS-Payload beginnt dazu, dass AntiXSS einen verarbeiteten String anstelle des kodierten Backups auswählt, wodurch ein wörtliches Anführungszeichen die Abfrage erreichen kann. Ein Benutzer mit niedrigen Berechtigungen und Zugriff auf das Cases-Modul kann eine blind SQL Injection durchführen und sensible Datenbankinformationen extrahieren. Dieses Problem wurde in den Versionen 7.15.2 und 8.10.2 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.