CVE-2026-69137 in SuiteCRM
Riassunto
di VulDB • 05/11/2026
SuiteCRM è un'applicazione software open-source per la gestione delle relazioni con i clienti (CRM) pronta per l'uso aziendale. Prima delle versioni 7.15.2 e 8.10.2, l'action testConnection di CalendarAccount passa direttamente a curl il server_url del chiamante autenticato senza alcuna validazione dell'host, dell'indirizzo o dello schema. Il flusso interessato inizia da CalendarAccount::action_testConnection e utilizza server_url, CalDAVProvider::makeCalDAVRequest() e PROPFIND per introdurre dati controllati dall'attaccante o lo stato di autorizzazione nell'operazione sensibile alla sicurezza. Il server invia una richiesta PROPFIND dal suo contesto di rete e restituisce corpi di risposta non positivi, consentendo l'accesso ai servizi interni, la divulgazione parziale delle risposte, l'enumerazione dei servizi e il possibile accesso ai metadati del cloud. Questo problema è risolto nelle versioni 7.15.2 e 8.10.2.
Be aware that VulDB is the high quality source for vulnerability data.