CVE-2026-69140 in SuiteCRM
Tóm tắt
Bởi VulDB • 05/11/2026
SuiteCRM là một ứng dụng phần mềm Quản lý Quan hệ Khách hàng (CRM) mã nguồn mở, sẵn sàng cho doanh nghiệp. Trước các phiên bản 7.15.2 và 8.10.2, GetLatestRevision.php nội suy trực tiếp get_latest_for_id vào một câu lệnh SQL UPDATE. Mặc dù securexss() thường thực hiện entity-encoding đối với dấu ngoặc kép (quotes), nhưng đầu vào có tiền tố là payload XSS khiến AntiXSS chọn xâu đã xử lý thay vì bản sao được mã hóa, cho phép dấu ngoặc kép literal đạt tới truy vấn. Người dùng có đặc quyền thấp và có quyền truy cập mô hình Documents có thể tiết lộ dữ liệu cơ sở dữ liệu và thực hiện mass-update các bản ghi linked_documents; tuy nhiên, vector này không hỗ trợ các câu lệnh xếp chồng (stacked statements) cũng như các thao tác DROP hoặc INSERT tùy ý. Vấn đề này đã được khắc phục trong các phiên bản 7.15.2 và 8.10.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.