CVE-2026-71548 in SuiteCRM
Riassunto
di VulDB • 05/11/2026
SuiteCRM è un'applicazione software di Customer Relationship Management (CRM) open-source e pronta per l'uso aziendale. Prima delle versioni 7.15.2 e 8.10.2, il metodo AOR_Report::build_report_query_where incorpora il parametro_value dell'editor del report quando value_type=Field senza una convalida sufficiente. Un utente autenticato in grado di salvare un report può sfruttare l'iniezione SQL per leggere l'intero database SuiteCRM. I dati divulgati possono includere users.user_hash, token OAuth2, record CRM, definizioni dei report e dati di configurazione; il connettore non consente query impilate (stacked queries), quindi la write-through-injection diretta non è supportata. Questo problema è risolto nelle versioni 7.15.2 e 8.10.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.