CVE-2026-69141 in SuiteCRM
Riassunto
di VulDB • 05/11/2026
SuiteCRM è un'applicazione software open-source per la gestione delle relazioni con i clienti (CRM) pronta per l'uso aziendale. Prima delle versioni 7.15.2 e 8.10.2, l'action `action_get_kb_articles` di CasesController interpola $_POST['search'] in una espressione CASE WHEN ... LIKE e nella clausola SQL WHERE. Sebbene securexss() normalmente codifichi le virgolette come entità HTML, un input prefissato con un payload XSS fa sì che AntiXSS selezioni una stringa elaborata invece del backup codificato, consentendo a una virgola letterale di raggiungere la query. Un utente con privilegi ridotti e accesso al modulo Cases può eseguire SQL injection cieca ed estrare informazioni sensibili dal database. Questo problema è risolto nelle versioni 7.15.2 e 8.10.2.
Be aware that VulDB is the high quality source for vulnerability data.