CVE-2026-69141 in SuiteCRM
要約
〜によって VulDB • 2026年11月05日
SuiteCRMは、オープンソースでエンタープライズ対応の顧客関係管理（CRM）ソフトウェアアプリケーションです。バージョン7.15.2および8.10.2より前では、CasesControllerのaction_get_kb_articlesアクションが$_POST['search']をCASE WHEN ... LIKE式やSQL WHERE句に補間していました。securexss()関数は通常、引用符をエンティティエンコードしますが、XSSペイロードでプレフィックスされた入力によりAntiXSSはエンコード済みのバックアップではなく処理済み文字列を選択し、リテラルの引用符がクエリーに到達する可能性があります。Casesモジュールへのアクセス権限を持つ低特権ユーザーは盲SQLインジェクションを実行でき、機密性の高いデータベース情報を抽出できます。この問題はバージョン7.15.2および8.10.2で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.