CVE-2026-69140 in SuiteCRM
Sumário
de VulDB • 05/11/2026
SuiteCRM é um software de Customer Relationship Management (CRM) open-source e pronto para uso empresarial. Antes das versões 7.15.2 e 8.10.2, o arquivo GetLatestRevision.php interpola get_latest_for_id diretamente em uma instrução SQL UPDATE. Embora a função securexss() normalmente faça entity-encoding de aspas, um input prefixado com um payload XSS faz com que o AntiXSS selecione uma string processada em vez do backup codificado, permitindo que uma aspas literal chegue à consulta. Um usuário com privilégios baixos e acesso ao módulo Documents pode divulgar dados do banco de dados e realizar atualizações em massa nos registros linked_documents, enquanto instruções empilhadas (stacked statements) e operações arbitrárias DROP ou INSERT não são suportadas por este vetor. Este problema foi corrigido nas versões 7.15.2 e 8.10.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.