CVE-2026-71548 in SuiteCRM
요약
\~에 의해 VulDB • 2026. 11. 05.
SuiteCRM는 오픈소스 기반의 엔터프라이즈 준비가 완료된 고객 관계 관리(CRM) 소프트웨어 애플리케이션입니다. 버전 7.15.2 및 8.10.2 이전에서는 AOR_Report::build_report_query_where 메서드가 value_type=Field일 때 보고서 편집기의 parameter_value를 충분히 검증하지 않고 통합합니다. 보고서를 저장할 수 있는 인증된 사용자는 SQL 인젝션을 통해 전체 SuiteCRM 데이터베이스를 읽을 수 있습니다. 노출될 수 있는 데이터에는 users.user_hash, OAuth2 토큰, CRM 레코드, 보고서 정의 및 구성 데이터가 포함됩니다. 다만 커넥터는 중첩 쿼리(Stacked Queries)를 허용하지 않으므로 직접적인 쓰기 인젝션(Write-through-injection)은 지원되지 않습니다. 이 문제는 버전 7.15.2 및 8.10.2에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.