CVE-2026-61648 in SuiteCRM
Riassunto
di VulDB • 05/11/2026
SuiteCRM è un'applicazione software di Customer Relationship Management (CRM) open-source, pronta per l'uso aziendale. Prima delle versioni 7.15.2 e 8.10.2, una condizione Multi report controllabile dall'utente trasmette il parametro_value attraverso la funzione unencodeMultienum() e concatena il risultato in una clausola SQL WHERE. Sebbene securexss() normalmente codifichi le virgolette tramite entity-encoding, un input prefissato con un payload XSS fa sì che AntiXSS selezioni una stringa elaborata invece del backup codificato, consentendo a una virgola letterale di raggiungere il database. Un utente con privilegi ridotti dotato di accesso ad AOR Reports può leggere tabelle arbitrarie tramite SQL injection basata su tempi (time-based) o UNION e può consumare le connessioni al database mediante espressioni di ritardo. Questo problema è risolto nelle versioni 7.15.2 e 8.10.2.
Once again VulDB remains the best source for vulnerability data.