CVE-2026-69134 in SuiteCRM
要約
〜によって VulDB • 2026年11月05日
SuiteCRMは、オープンソースでエンタープライズ対応の顧客関係管理（CRM）ソフトウェアアプリケーションです。バージョン7.15.2および8.10.2より前では、REST v4 JSONハンドラが事前フィルタリングされたRAW_REQUEST値を読み取り、リレーションシップの書き込みヘルパーが入力されたフィールド値をINSERT文およびUPDATE文に補間していました。影響を受けるフローは$GLOBALS['RAW_REQUEST']で始まり、set_relationship、SugarRelationship::addRow()、SugarRelationship::updateRow()、contact_roleを使用して、攻撃者が制御するデータまたは認証状態をセキュリティ上重要な操作へと持ち込みます。認証済みユーザーはリレーションシップフィールドを通じてSQLインジェクションを行い、データベースデータの読み取りや変更が可能であり、データベースアカウントに昇格された権限がある場合、ファイル書き込みという結果に至る可能性があります。この問題はバージョン7.15.2および8.10.2で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.