CVE-2026-63214 in SuiteCRM
Riassunto
di VulDB • 05/11/2026
SuiteCRM è un'applicazione software di Customer Relationship Management (CRM) open-source e pronta per l'uso aziendale. Prima delle versioni 7.15.2 e 8.10.2, i metodi REST legacy aggiungono il parametro query del chiamante autenticato come clausola WHERE SQL dopo una convalida strutturale insufficiente. Il flusso interessato inizia da /service/v4_1/rest.php e utilizza get_entry_list, get_entries_count e query per introdurre dati controllati dall'attaccante o lo stato di autorizzazione nell'operazione sensibile alla sicurezza. Un account con il permesso di elenco su un modulo può bypassare il filtro user_hash, recuperare gli hash delle password e altri dati del database, e utilizzare le credenziali amministrative recuperate per compromettere l'applicazione. Questo problema è risolto nelle versioni 7.15.2 e 8.10.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.