CVE-2026-69140 in SuiteCRM
Riassunto
di VulDB • 05/11/2026
SuiteCRM è un'applicazione software di Customer Relationship Management (CRM) open-source, pronta per l'uso aziendale. Prima delle versioni 7.15.2 e 8.10.2, GetLatestRevision.php interpola direttamente get_latest_for_id in una istruzione SQL UPDATE. Sebbene securexss() normalmente codifichi le virgolette tramite entity-encoding, un input prefissato con un payload XSS fa sì che AntiXSS selezioni una stringa elaborata invece del backup codificato, consentendo a una virgola letterale di raggiungere la query. Un utente con privilegi ridotti e accesso al modulo Documents può divulgare dati del database ed eseguire aggiornamenti in massa sui record linked_documents; tuttavia, questo vettore non supporta istruzioni accodate (stacked statements) né operazioni arbitrarie DROP o INSERT. Questo problema è risolto nelle versioni 7.15.2 e 8.10.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.