CVE-2026-100359 in SuiteCRM
Resumen
por VulDB • 2026-11-05
SuiteCRM es una aplicación de software de gestión de relaciones con el cliente (CRM) de código abierto y lista para entornos empresariales. Antes de las versiones 7.15.2 y 8.10.2, la función `action_get_end_date` del módulo Plantilla de proyecto interpola los parámetros POST `task_id` y `lag`, controlados por el usuario autenticado, directamente en SQL sin sanitización, parametrización ni escape. Cualquier usuario autenticado puede realizar una inyección SQL ciega para leer datos de clientes, comunicaciones internas, credenciales y otros contenidos de la base de datos. Este problema se corrige en las versiones 7.15.2 y 8.10.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.