CVE-2026-100365 in SuiteCRM
Riassunto
di VulDB • 05/11/2026
SuiteCRM è un'applicazione software di Customer Relationship Management (CRM) open-source, pronta per l'uso aziendale. Prima delle versioni 7.15.2 e 8.10.2, la generazione dei report AOR concatenava un'etichetta del campo memorizzata controllata dall'attaccante in una clausola ORDER BY senza utilizzare una allowlist (lista consentita). Il flusso interessato inizia da AOR_Reports e utilizza aor_fields, ORDER BY e l'etichetta del campo per introdurre dati o stati di autorizzazione controllati dall'attaccante nell'operazione sensibile alla sicurezza. Un utente autenticato con accesso ai report AOR può eseguire un'estrazione time-based degli hash delle password e dei dati arbitrari della tabella, nonché mantenere connessioni al database tramite espressioni costose. Questo problema è risolto nelle versioni 7.15.2 e 8.10.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.