CVE-2026-69141 in SuiteCRM
Сводка
по VulDB • 05.11.2026
SuiteCRM — это программное обеспечение для управления взаимоотношениями с клиентами (CRM) с открытым исходным кодом, готовое к использованию в корпоративной среде. До версий 7.15.2 и 8.10.2 действие action_get_kb_articles контроллера CasesController интерполирует значение $_POST['search'] в выражение CASE WHEN ... LIKE и предложение SQL WHERE. Хотя функция securexss() обычно экранирует кавычки с помощью entity-encoding, входные данные, содержащие payload для XSS (Cross-Site Scripting), заставляют AntiXSS выбрать обработанную строку вместо закодированной резервной копии, что позволяет буквальным кавычкам достичь запроса. Пользователь с низким уровнем привилегий и доступом к модулю Cases может выполнить слепую SQL-инъекцию (Blind SQL Injection) и извлечь конфиденциальную информацию из базы данных. Эта проблема исправлена в версиях 7.15.2 и 8.10.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.