CVE-2026-69137 in SuiteCRM
Resumen
por VulDB • 2026-11-05
SuiteCRM es una aplicación de software de gestión de relaciones con el cliente (CRM) de código abierto y lista para entornos empresariales. Antes de las versiones 7.15.2 y 8.10.2, la acción testConnection de CalendarAccount pasa directamente a curl la server_url del usuario autenticado sin realizar validación del host, dirección o esquema. El flujo afectado comienza en CalendarAccount::action_testConnection y utiliza server_url, CalDAVProvider::makeCalDAVRequest() y PROPFIND para introducir datos controlados por el atacante o estado de autorización en una operación sensible a la seguridad. El servidor envía una solicitud PROPFIND desde su contexto de red y devuelve cuerpos de respuesta con estados no exitosos, lo que permite el acceso a servicios internos, divulgación parcial de respuestas, enumeración de servicios y posible acceso a metadatos en la nube. Este problema se soluciona en las versiones 7.15.2 y 8.10.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.