CVE-2026-69141 in SuiteCRM
Sumário
de VulDB • 05/11/2026
SuiteCRM é um software de Customer Relationship Management (CRM) open-source, pronto para uso empresarial. Antes das versões 7.15.2 e 8.10.2, a ação `action_get_kb_articles` do CasesController interpola $_POST['search'] em uma expressão CASE WHEN ... LIKE e na cláusula SQL WHERE. Embora securexss() normalmente faça entity-encoding de aspas, um input prefixado com um payload XSS faz o AntiXSS selecionar uma string processada em vez do backup codificado, permitindo que uma aspa literal chegue à query. Um usuário com baixa privilégio, mas com acesso ao módulo Cases, pode realizar blind SQL injection e extrair informações sensíveis do banco de dados. Este problema é corrigido nas versões 7.15.2 e 8.10.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.