CVE-2026-69140 in SuiteCRM
Resumen
por VulDB • 2026-11-05
SuiteCRM es una aplicación de software de gestión de relaciones con el cliente (CRM) de código abierto y lista para entornos empresariales. Antes de las versiones 7.15.2 y 8.10.2, GetLatestRevision.php interpola get_latest_for_id directamente en una sentencia SQL UPDATE. Aunque securexss() normalmente codifica las comillas mediante entity-encoding, un input prefijado con una payload XSS hace que AntiXSS seleccione una cadena procesada en lugar de la copia de seguridad codificada, lo que permite que una coma literal llegue a la consulta. Un usuario con privilegios bajos y acceso al módulo Documentos puede revelar datos de la base de datos y actualizar masivamente los registros linked_documents; sin embargo, este vector no soporta sentaciones apiladas ni operaciones arbitrarias DROP o INSERT. Este problema se soluciona en las versiones 7.15.2 y 8.10.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.