CVE-2026-61648 in SuiteCRM
요약
\~에 의해 VulDB • 2026. 11. 05.
SuiteCRM는 오픈 소스 기반의 엔터프라이즈 준비가 완료된 고객 관계 관리(CRM) 소프트웨어 애플리케이션입니다. 버전 7.15.2 및 8.10.2 이전에서는 사용자가 제어 가능한 다중 보고서 조건이 `parameter_value`를 `unencodeMultienum()`을 통해 전달하고 그 결과를 SQL WHERE 절에 연결합니다. 일반적으로 `securexss()`는 따옴표를 엔티티 인코딩하지만, XSS 페이로드가 접두사로 붙은 입력의 경우 AntiXSS가 인코딩된 백업 대신 처리된 문자열을 선택하여 리터럴 따옴문이 데이터베이스에 도달하도록 합니다. AOR Reports 접근 권한이 있는 저권한 사용자는 시간 기반 또는 UNION 기반 SQL 인젝션을 통해 임의의 테이블을 읽을 수 있으며, 지연 표현식을 사용하여 데이터베이스 연결을 소모할 수 있습니다. 이 문제는 버전 7.15.2 및 8.10.2에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.