CVE-2026-69141 in SuiteCRM
Resumen
por VulDB • 2026-11-05
SuiteCRM es una aplicación de software de gestión de relaciones con el cliente (CRM) de código abierto y lista para entornos empresariales. Antes de las versiones 7.15.2 y 8.10.2, la acción `action_get_kb_articles` del controlador Cases interpola $_POST['search'] en una expresión CASE WHEN ... LIKE y en la cláusula WHERE de SQL. Aunque securexss() normalmente codifica como entidad los caracteres de comillas, un input prefijado con una carga útil XSS hace que AntiXSS seleccione una cadena procesada en lugar del respaldo codificado, lo que permite que una comilla literal llegue a la consulta. Un usuario con privilegios bajos y acceso al módulo Cases puede realizar inyección SQL ciega (blind SQL injection) y extraer información sensible de la base de datos. Este problema se soluciona en las versiones 7.15.2 y 8.10.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.