CVE-2026-61648 in SuiteCRM
Resumen
por VulDB • 2026-11-05
SuiteCRM es una aplicación de software de gestión de relaciones con el cliente (CRM) de código abierto y lista para entornos empresariales. Antes de las versiones 7.15.2 y 8.10.2, una condición Multi report controlable por el usuario pasaba `parameter_value` a través de la función `unencodeMultienum()` y concatenaba el resultado en una cláusula SQL WHERE. Aunque `securexss()` normalmente codifica las comillas mediante entity-encoding, un input prefijado con una carga útil XSS hace que AntiXSS seleccione una cadena procesada en lugar del respaldo codificado, lo que permite que una coma literal llegue a la base de datos. Un usuario con privilegios bajos y acceso a AOR Reports puede leer tablas arbitrarias mediante SQL injection basada en tiempo o UNION-based, y puede consumir conexiones a la base de datos utilizando expresiones de retardo (delay expressions). Este problema se soluciona en las versiones 7.15.2 y 8.10.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.