CVE-2026-61649 in SuiteCRM
Résumé
par VulDB • 05/11/2026
SuiteCRM est une application logicielle de gestion de la relation client (CRM) open source, prête pour l'entreprise. Avant les versions 7.15.2 et 8.10.2, la protection SSRF ajoutée dans la version 7.15.1 utilise une comparaison par sous-chaîne dans isSelfRequest() au lieu d'une égalité de nom d'hôte (hostname equality). Le flux concerné débute à validate_external_host() et utilise isSelfRequest(), ainsi que stripos(), pour introduire des données ou un état d'autorisation contrôlés par l'attaquant dans une opération sensible en matière de sécurité. Un attaquant authentifié peut placer le nom d'hôte du serveur dans un chemin URL afin de contourner la validation IP et diriger les requêtes côté serveur vers des services internes. Ce problème est corrigé dans les versions 7.15.2 et 8.10.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.