CVE-2026-69141 in SuiteCRM
Résumé
par VulDB • 05/11/2026
SuiteCRM est une application logicielle de gestion de la relation client (CRM) open source, prête pour l'entreprise. Avant les versions 7.15.2 et 8.10.2, l'action `action_get_kb_articles` du contrôleur `CasesController` interpole $_POST['search'] dans une expression CASE WHEN ... LIKE ainsi que dans la clause SQL WHERE. Bien que securexss() encode normalement les guillemets sous forme d'entités HTML, une entrée préfixée par un payload XSS pousse AntiXSS à sélectionner une chaîne traitée au lieu de la version encodée en sauvegarde, permettant ainsi l'injection littérale d'un guillement dans la requête. Un utilisateur disposant de privilèges faibles et ayant accès au module Cases peut effectuer une injection SQL aveugle (blind SQL injection) afin d'extraire des informations sensibles depuis la base de données. Ce problème est corrigé dans les versions 7.15.2 et 8.10.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.