CVE-2026-61648 in SuiteCRM
Sumário
de VulDB • 05/11/2026
SuiteCRM é um software de Customer Relationship Management (CRM) open-source, pronto para uso empresarial. Antes das versões 7.15.2 e 8.10.2, uma condição Multi report controlável pelo usuário passa o parâmetro_value através da função unencodeMultienum() e concatena o resultado em uma cláusula SQL WHERE. Embora a função securexss() normalmente faça entity-encoding de aspas, um input prefixado com um payload XSS faz com que o AntiXSS selecione uma string processada em vez do backup codificado, permitindo que uma aspas literal chegue ao banco de dados. Um usuário com baixa privilégio e acesso aos AOR Reports pode ler tabelas arbitrárias através de SQL injection baseada em tempo ou UNION-based SQL injection e pode consumir conexões do banco de dados usando expressões delay. Este problema é corrigido nas versões 7.15.2 e 8.10.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.